HTProtect.org
Web independiente sobre vulnerabilidades de seguridad en Joomla
ES
HTProtect HTProtect JOOMLA SECURITY
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
htprotect.org Vulnerabilidades & guías de actualización
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
Vulnerabilidad de seguridad

iCagenda: subida crítica de archivos sin autenticación

CríticaCVE-2026-48939
Actúa ahora
Actualiza iCagenda a la 4.0.8 (en Joomla 3, a la 3.9.15).
Descargar la versión segura Ir a los pasos de actualización

Versión segura: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download

De un vistazo

Extensión afectada
iCagenda – calendario de eventos
Desarrollador
iCagenda
Tipo de vulnerabilidad
Falta la comprobación de inicio de sesión en el formulario de eventos (cualquier visitante puede crear eventos); en Joomla 6, subida crítica de archivos sin autenticación
Versiones afectadas
iCagenda 3.2.1 a 4.0.7
Versión segura
iCagenda 4.0.8 (Joomla 3: 3.9.15)   Descargar
Gravedad
Crítica
CVE
CVE-2026-48939
Compatibilidad con Joomla
Joomla 3 / 4 / 5 / 6
Actualizado / publicado
Publicado: 15 de junio de 2026

¿De qué se trata?

iCagenda es una extensión muy utilizada para publicar calendarios de eventos. Al formulario de envío de eventos le faltaba una comprobación real del inicio de sesión: por eso, incluso los visitantes sin autenticar podían crear eventos, aunque el formulario estuviera pensado solo para usuarios registrados. En Joomla 6 (6.0.0–6.1.1) esto puede derivar en una subida de archivos; ahí la vulnerabilidad es crítica. Las demás versiones de Joomla no se ven afectadas por ese punto.

Están afectadas las versiones iCagenda 3.2.1 a 4.0.7 (las anteriores a la 3.2.1 no lo están). La corrección llegó como iCagenda 4.0.8 el 15 de junio de 2026; para Joomla 3 existe además iCagenda 3.9.15 (16 de junio de 2026). La vulnerabilidad está registrada como CVE-2026-48939.

Los archivos subidos suelen acabar en images/icagenda/frontend/. Una regla en el archivo .htaccess puede impedir la ejecución de PHP en esa carpeta: es una medida de refuerzo razonable, pero no sustituye a la actualización.

El tiempo cuenta
En cuanto se hacen públicos los detalles técnicos, la experiencia demuestra que los escáneres automáticos localizan este tipo de fallos en cuestión de horas. Actualiza cuanto antes.

¿Me afecta? – Cómo comprobarlo

  1. Abre el backend

    Inicia sesión en el administrador de Joomla.

  2. Comprueba la versión de iCagenda

    Abre Extensiones›Gestionar›Gestionar y filtra por «iCagenda».

  3. Evalúa la versión

    Si la versión está entre la 3.2.1 y la 4.0.7, hay que actuar: en Joomla 6 la vulnerabilidad es crítica.

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad
Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).
  1. Abre el centro de actualizaciones

    Ve a Sistema›Actualizar›Extensiones y haz clic en Buscar actualizaciones.

  2. Actualiza iCagenda

    Selecciona la entrada de iCagenda y haz clic en Actualizar (versión de destino 4.0.8; en Joomla 3, 3.9.15).

  3. Verifica la versión

    Comprueba que ahora está instalada la 4.0.8 (o la 3.9.15 en Joomla 3) o una versión posterior.

Instalación manual (alternativa)
Otra opción es descargar el paquete desde icagenda.com e instalarlo en Extensiones›Gestionar›Instalar. Importante: no restaures archivos antiguos de copias de seguridad; instala limpiamente la versión 4.0.8 (en Joomla 3: 3.9.15).
Descargar la versión segura

Descarga oficial: free download. Asegúrate de tener al menos iCagenda 4.0.8 (Joomla 3: 3.9.15).

¿Han atacado ya tu web?

Las webs ya atacadas necesitan algo más que una actualización
Revisa la carpeta images/icagenda/frontend/ en busca de archivos ajenos. Si la web está infectada, hace falta una limpieza estructurada: no basta con borrar archivos sueltos.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Volver a todas las vulnerabilidades
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de