iCagenda: subida crítica de archivos sin autenticación
Versión segura: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download
De un vistazo
¿De qué se trata?
iCagenda es una extensión muy utilizada para publicar calendarios de eventos. Al formulario de envío de eventos le faltaba una comprobación real del inicio de sesión: por eso, incluso los visitantes sin autenticar podían crear eventos, aunque el formulario estuviera pensado solo para usuarios registrados. En Joomla 6 (6.0.0–6.1.1) esto puede derivar en una subida de archivos; ahí la vulnerabilidad es crítica. Las demás versiones de Joomla no se ven afectadas por ese punto.
Están afectadas las versiones iCagenda 3.2.1 a 4.0.7 (las anteriores a la 3.2.1 no lo están). La corrección llegó como iCagenda 4.0.8 el 15 de junio de 2026; para Joomla 3 existe además iCagenda 3.9.15 (16 de junio de 2026). La vulnerabilidad está registrada como CVE-2026-48939.
Los archivos subidos suelen acabar en images/icagenda/frontend/. Una regla en el archivo .htaccess puede impedir la ejecución de PHP en esa carpeta: es una medida de refuerzo razonable, pero no sustituye a la actualización.
¿Me afecta? – Cómo comprobarlo
- Abre el backend
Inicia sesión en el administrador de Joomla.
- Comprueba la versión de iCagenda
Abre Extensiones›Gestionar›Gestionar y filtra por «iCagenda».
- Evalúa la versión
Si la versión está entre la 3.2.1 y la 4.0.7, hay que actuar: en Joomla 6 la vulnerabilidad es crítica.
Cómo solucionar la vulnerabilidad
- Abre el centro de actualizaciones
Ve a Sistema›Actualizar›Extensiones y haz clic en Buscar actualizaciones.
- Actualiza iCagenda
Selecciona la entrada de iCagenda y haz clic en Actualizar (versión de destino 4.0.8; en Joomla 3, 3.9.15).
- Verifica la versión
Comprueba que ahora está instalada la 4.0.8 (o la 3.9.15 en Joomla 3) o una versión posterior.
Descarga oficial: free download. Asegúrate de tener al menos iCagenda 4.0.8 (Joomla 3: 3.9.15).
¿Han atacado ya tu web?
images/icagenda/frontend/ en busca de archivos ajenos. Si la web está infectada, hace falta una limpieza estructurada: no basta con borrar archivos sueltos.¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.
Fuentes & más información
- Aviso oficial de seguridad – iCagenda (joomlic.com)Comunicado del desarrollador: versiones afectadas, correcciones y CVE
- Análisis detallado – Website-Bereinigung.deContexto, refuerzo de seguridad y limpieza
- iCagenda (desarrollador)Descargas oficiales
Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.
Vulnerabilidades relacionadas
Otras extensiones con vulnerabilidades similares. Comprueba si alguna de ellas está instalada en tu web.
Colaboradores de esta web
htprotect.org es un servicio de información gratuito e independiente de cualquier desarrollador. Cuenta con el apoyo de:
Proveedor de hosting para Joomla en Alemania, con soporte activo a la comunidad – detectó el primer ataque contra la vulnerabilidad de JCE.
fc-hosting.de
Especializada en la limpieza, el mantenimiento y la protección de webs Joomla y WordPress.
website-bereinigung.deApoya este proyecto
¿Tienes un servicio de hosting o de Joomla y quieres apoyar htprotect.org – y aparecer aquí como colaborador? Cada aportación ayuda a avisar y a proteger antes a los afectados.
¿Prefieres colaborar en privado, sin aparecer mencionado? Una pequeña aportación al bote del café nos alegra igual.
Fabricación y montaje de carteles de obra, vallas de obra y soluciones de fachada – incluidos el diseño y la visualización en 3D.
bauschildundservice.deSoporte informático profesional desde Chequia – gestión de Windows, administración de dominios y alojamiento web.
defendersoft.cz
Portal de viajes de Alemania – viajes combinados, hoteles y vuelos en línea, con asesoramiento personal de agencia de viajes.
onlineweg.de
Agencia creativa de Brandeburgo – diseño web, medios impresos, fotografía y panorámicas de 360° de un solo proveedor.
criadero.deProveedor de servicios informáticos de Wächtersbach – webs Joomla, servicio técnico de PC, hardware y software.
jahnedv.de
Consultoría de seguridad de la información de Berlín – análisis de seguridad, gestión de riesgos e ISO 27001 para pymes.
isari-consult.de