Kritisk sikkerhedssårbarhed i Joomla-editoren JCE udnyttes
Sikker version: JCE 2.9.99.5 – helst 2.9.99.6 · JCE Core free · Pro with account
Kort fortalt
com_jceHvad handler det om?
JCE (JoomlaContentEditor) er en af de mest udbredte editorer til Joomla. Udvikleren angiver otilstrækkelig adgangskontrol som årsag: brugere uden login kunne uploade editorprofiler og gennem dem lægge vilkårlige filer på serveren.
Alle versioner før 2.9.99.5 er berørt – både JCE Free og JCE Pro. Det gælder, uanset om åben registrering er slået til. Rettelsen udkom 3. juni 2026 som 2.9.99.5; efter en fuld sikkerhedsgennemgang fulgte version 2.9.99.6 den 8. juni 2026.
Sårbarheden udnyttes aktivt: angribere bruger den til at installere webshells. Da der ikke kræves login, er hjemmesider uden åben registrering også udsatte. Særligt mistænkelige er editorprofiler med tilfældige navne eller tilknytning til »Public«. (Historisk var JCE allerede mål for omfattende angreb i 2011/2012 – CVE-2012-2902.)
Er jeg berørt? – Sådan tjekker du det
- Åbn administrationen
Log ind i Joomlas administration.
- Kontrollér JCE-versionen
Åbn Komponenter›JCE Editor. Versionsnummeret vises der.
- Vurder versionen
Er versionen lavere end 2.9.99.5, skal du handle med det samme.
- Gennemgå editorprofilerne
Kontrollér JCE's editorprofiler for ukendte poster med tilfældige navne eller tilknytning til Public.
Sådan lukker du sårbarheden
- Åbn opdateringscenteret
Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.
- Opdater JCE
Markér JCE-posten, og klik på Opdater (målversion 2.9.99.5 / 2.9.99.6).
- Kontrollér versionen
Kontrollér under Komponenter›JCE Editor, at den nye version er aktiv.
Officiel kilde: JCE Core free · Pro with account. Sørg for at have mindst JCE 2.9.99.5 – helst 2.9.99.6.
Er hjemmesiden allerede blevet hacket?
Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.
Kilder & mere information
- Detaljeret analyse – Website-Bereinigung.deForløb, opdagelse og rensning
- JoomlaContentEditor (udvikleren)Officielle downloads og udgivelsesnoter
Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.
Lignende sårbarheder
Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.
Støtter af denne side
htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:
Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.
fc-hosting.de
Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.
website-bereinigung.deStøt dette projekt
Driver du en hosting- eller Joomla-tjeneste og vil gerne bakke op om htprotect.org – og stå opført her som støtte? Ethvert bidrag er med til at advare og beskytte de berørte hurtigere.
Vil du hellere give privat og uden at blive nævnt? Et lille bidrag til kaffekassen er lige så velkomment.
Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.
bauschildundservice.deProfessionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.
defendersoft.cz
Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.
onlineweg.de
Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.
criadero.deIt-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.
jahnedv.de
Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.
isari-consult.de
Mediedesign fra Friedrichshafen – websteder med Joomla og WordPress, webshops, grafik og 3D.
schippelbein.com