HTProtect.org
Web independiente sobre vulnerabilidades de seguridad en Joomla
ES
HTProtect HTProtect JOOMLA SECURITY
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
htprotect.org Vulnerabilidades & guías de actualización
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
Vulnerabilidad de seguridad

JCE: subida crítica de archivos en explotación activa

Crítica Explotada activamenteCVE: No se ha asignado ningún CVE específico
Actúa ahora
Actualiza JCE a 2.9.99.5 (mejor 2.9.99.6) de inmediato: la vulnerabilidad está en explotación activa.
Descargar la versión segura Ir a los pasos de actualización

Versión segura: JCE 2.9.99.5 – mejor 2.9.99.6 · JCE Core free · Pro with account

De un vistazo

Extensión afectada
JCE Editor – Free & Pro, componente com_jce
Desarrollador
JoomlaContentEditor
Tipo de vulnerabilidad
Control de acceso insuficiente → subida de archivos arbitrarios sin autenticación (mediante perfiles de editor)
Versiones afectadas
Todas las versiones anteriores a 2.9.99.5 (Free y Pro)
Versión segura
JCE 2.9.99.5 – mejor 2.9.99.6   Descargar
Gravedad
Crítica · explotada activamente
CVE
No se ha asignado ningún CVE específico
Compatibilidad con Joomla
Joomla 3 / 4 / 5 / 6
Actualizado / publicado
Corrección: 3 de junio de 2026 · revisión posterior 2.9.99.6: 8 de junio de 2026

¿De qué se trata?

JCE (JoomlaContentEditor) es uno de los editores más extendidos en Joomla. El desarrollador describe la causa como un control de acceso insuficiente: usuarios no autenticados podían subir perfiles de editor y, a través de ellos, colocar archivos arbitrarios en el servidor.

Están afectadas todas las versiones anteriores a 2.9.99.5 —tanto JCE Free como JCE Pro—, y ello con independencia de que el registro público esté activado. La corrección se publicó el 3 de junio de 2026 como 2.9.99.5; tras una auditoría de seguridad completa llegó el 8 de junio de 2026 la versión 2.9.99.6.

La vulnerabilidad está en explotación activa: los atacantes la utilizan para instalar webshells. Como no hace falta iniciar sesión, también corren peligro los sitios sin registro abierto. Resultan especialmente sospechosos los perfiles de editor con nombres aleatorios o asignados al grupo «Público». (Históricamente, JCE ya fue objetivo de ataques masivos en 2011/2012: CVE-2012-2902.)

¿Me afecta? – Cómo comprobarlo

  1. Accede al backend

    Inicia sesión en el administrador de Joomla.

  2. Comprueba la versión de JCE

    Abre Componentes›JCE Editor. Allí se muestra el número de versión.

  3. Valora la versión

    Si la versión es inferior a 2.9.99.5, hay que actuar de inmediato.

  4. Revisa los perfiles de editor

    Comprueba si entre los perfiles de editor de JCE hay entradas desconocidas con nombres aleatorios o asignadas al grupo Público.

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad
Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).
  1. Abre el gestor de actualizaciones

    Ve a Sistema›Actualizar›Extensiones y haz clic en Buscar actualizaciones.

  2. Actualiza JCE

    Selecciona la entrada de JCE y haz clic en Actualizar (versión de destino 2.9.99.5 / 2.9.99.6).

  3. Verifica la versión

    Comprueba en Componentes›JCE Editor que la nueva versión está activa.

Instalación manual (alternativa)
Otra opción es descargar el paquete de joomlacontenteditor.net e instalarlo desde Extensiones›Gestionar›Instalar. ¿Suscripción de JCE Pro caducada? Puedes cambiar gratis a JCE Core (Free) o renovar la suscripción; lo único importante es llegar como mínimo a la 2.9.99.5.
Descargar la versión segura

Descarga oficial: JCE Core free · Pro with account. Asegúrate de tener al menos JCE 2.9.99.5 – mejor 2.9.99.6.

¿Han atacado ya tu web?

En explotación activa: revisa tu web
Como la vulnerabilidad ya se está usando para instalar webshells, después de actualizar conviene buscar expresamente archivos introducidos por el atacante y perfiles de editor sospechosos. La actualización cierra la brecha, pero no elimina las puertas traseras ya colocadas: ante la duda, encarga una limpieza profesional y cambia las contraseñas.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Vulnerabilidades relacionadas

Otras extensiones con vulnerabilidades similares. Comprueba si alguna de ellas está instalada en tu web.

iCagendaCrítica
Calendario de eventosMás información
Helix3 FrameworkCríticaexplotada activamente
JoomShaperMás información
Astroid FrameworkCríticaexplotada activamente
TemPlazaMás información
Volver a todas las vulnerabilidades
Colaboradores

Colaboradores de esta web

htprotect.org es un servicio de información gratuito e independiente de cualquier desarrollador. Cuenta con el apoyo de:

Hosting & comunidad
FC-Hosting

Proveedor de hosting para Joomla en Alemania, con soporte activo a la comunidad – detectó el primer ataque contra la vulnerabilidad de JCE.

fc-hosting.de
Impulsor & responsable
Website-Bereinigung.de

Especializada en la limpieza, el mantenimiento y la protección de webs Joomla y WordPress.

website-bereinigung.de

Apoya este proyecto

¿Tienes un servicio de hosting o de Joomla y quieres apoyar htprotect.org – y aparecer aquí como colaborador? Cada aportación ayuda a avisar y a proteger antes a los afectados.

¿Prefieres colaborar en privado, sin aparecer mencionado? Una pequeña aportación al bote del café nos alegra igual.

Apoya HTProtect ahora
Bauschild & Service

Fabricación y montaje de carteles de obra, vallas de obra y soluciones de fachada – incluidos el diseño y la visualización en 3D.

bauschildundservice.de
IT Specialista

Soporte informático profesional desde Chequia – gestión de Windows, administración de dominios y alojamiento web.

defendersoft.cz
onlineweg.de

Portal de viajes de Alemania – viajes combinados, hoteles y vuelos en línea, con asesoramiento personal de agencia de viajes.

onlineweg.de
Criadero

Agencia creativa de Brandeburgo – diseño web, medios impresos, fotografía y panorámicas de 360° de un solo proveedor.

criadero.de
Jahn EDV-Dienst GmbH

Proveedor de servicios informáticos de Wächtersbach – webs Joomla, servicio técnico de PC, hardware y software.

jahnedv.de
IsariConsult

Consultoría de seguridad de la información de Berlín – análisis de seguridad, gestión de riesgos e ISO 27001 para pymes.

isari-consult.de
Schippelbein Mediengestaltung

Diseño de medios de Friedrichshafen – sitios web con Joomla y WordPress, tiendas en línea, gráficos y 3D.

schippelbein.com