HTProtect.org
Uafhængig informationsside om sikkerhedssårbarheder i Joomla
DA
HTProtect HTProtect JOOMLA SECURITY
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
htprotect.org Sikkerhedssårbarheder & opdateringsguider
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
Sikkerhedssårbarhed

Kritisk sikkerhedssårbarhed i Joomla-editoren JCE udnyttes

Kritisk Udnyttes aktivtCVE: Ingen specifik CVE tildelt
Handl nu
Opdater JCE til 2.9.99.5 (helst 2.9.99.6) med det samme – sårbarheden udnyttes aktivt.
Hent den sikre version Gå til opdateringstrinnene

Sikker version: JCE 2.9.99.5 – helst 2.9.99.6 · JCE Core free · Pro with account

Kort fortalt

Berørt udvidelse
JCE Editor – Free & Pro, komponenten com_jce
Udvikler
JoomlaContentEditor
Sårbarhedstype
Otilstrækkelig adgangskontrol → upload af vilkårlige filer uden login (via editorprofiler)
Berørte versioner
Alle versioner før 2.9.99.5 (Free og Pro)
Sikker version
JCE 2.9.99.5 – helst 2.9.99.6   Hent
Alvorlighedsgrad
Kritisk · udnyttes aktivt
CVE
Ingen specifik CVE tildelt
Joomla-kompatibilitet
Joomla 3 / 4 / 5 / 6
Status / offentliggjort
Rettelse: 3. juni 2026 · opfølgning 2.9.99.6: 8. juni 2026

Hvad handler det om?

JCE (JoomlaContentEditor) er en af de mest udbredte editorer til Joomla. Udvikleren angiver otilstrækkelig adgangskontrol som årsag: brugere uden login kunne uploade editorprofiler og gennem dem lægge vilkårlige filer på serveren.

Alle versioner før 2.9.99.5 er berørt – både JCE Free og JCE Pro. Det gælder, uanset om åben registrering er slået til. Rettelsen udkom 3. juni 2026 som 2.9.99.5; efter en fuld sikkerhedsgennemgang fulgte version 2.9.99.6 den 8. juni 2026.

Sårbarheden udnyttes aktivt: angribere bruger den til at installere webshells. Da der ikke kræves login, er hjemmesider uden åben registrering også udsatte. Særligt mistænkelige er editorprofiler med tilfældige navne eller tilknytning til »Public«. (Historisk var JCE allerede mål for omfattende angreb i 2011/2012 – CVE-2012-2902.)

Er jeg berørt? – Sådan tjekker du det

  1. Åbn administrationen

    Log ind i Joomlas administration.

  2. Kontrollér JCE-versionen

    Åbn Komponenter›JCE Editor. Versionsnummeret vises der.

  3. Vurder versionen

    Er versionen lavere end 2.9.99.5, skal du handle med det samme.

  4. Gennemgå editorprofilerne

    Kontrollér JCE's editorprofiler for ukendte poster med tilfældige navne eller tilknytning til Public.

Sådan lukker du sårbarheden

Før hver opdatering: tag en backup
Tag en backup af filer og database, før du opdaterer – så kan du rulle tilbage, hvis noget går galt (f.eks. med Akeeba Backup eller via dit webhotel).
  1. Åbn opdateringscenteret

    Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.

  2. Opdater JCE

    Markér JCE-posten, og klik på Opdater (målversion 2.9.99.5 / 2.9.99.6).

  3. Kontrollér versionen

    Kontrollér under Komponenter›JCE Editor, at den nye version er aktiv.

Manuel installation (alternativ)
Du kan også hente pakken på joomlacontenteditor.net og installere den via Udvidelser›Håndter›Installer. Udløbet JCE Pro-abonnement? Du kan enten skifte til den gratis JCE Core eller forny abonnementet – det afgørende er blot, at du kommer op på mindst 2.9.99.5.
Hent den sikre version

Officiel kilde: JCE Core free · Pro with account. Sørg for at have mindst JCE 2.9.99.5 – helst 2.9.99.6.

Er hjemmesiden allerede blevet hacket?

Udnyttes aktivt – tjek hjemmesiden
Da sårbarheden allerede misbruges til webshells, bør du efter opdateringen målrettet lede efter indsmuglede filer og mistænkelige editorprofiler. En opdatering lukker hullet, men fjerner ikke bagdøre, der allerede er lagt ind – er du i tvivl, så få hjemmesiden renset professionelt, og skift adgangskoderne.

Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.

Kilder & mere information

Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.

Tilbage til alle sikkerhedssårbarheder
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de