Vulnerabilidad de seguridad

JCE: subida crítica de archivos en explotación activa

Crítica Explotada activamenteCVE: No se ha asignado ningún CVE específico

Actúa ahora

Actualiza JCE a 2.9.99.5 (mejor 2.9.99.6) de inmediato: la vulnerabilidad está en explotación activa.

Descargar la versión segura Ir a los pasos de actualización

Versión segura: JCE 2.9.99.5 – mejor 2.9.99.6 · JCE Core free · Pro with account

De un vistazo

Extensión afectada

JCE Editor – Free & Pro, componente com_jce

Desarrollador

JoomlaContentEditor

Tipo de vulnerabilidad

Control de acceso insuficiente → subida de archivos arbitrarios sin autenticación (mediante perfiles de editor)

Versiones afectadas

Todas las versiones anteriores a 2.9.99.5 (Free y Pro)

Versión segura

JCE 2.9.99.5 – mejor 2.9.99.6 Descargar

Gravedad

Crítica · explotada activamente

CVE

No se ha asignado ningún CVE específico

Compatibilidad con Joomla

Joomla 3 / 4 / 5 / 6

Actualizado / publicado

Corrección: 3 de junio de 2026 · revisión posterior 2.9.99.6: 8 de junio de 2026

¿De qué se trata?

JCE (JoomlaContentEditor) es uno de los editores más extendidos en Joomla. El desarrollador describe la causa como un control de acceso insuficiente: usuarios no autenticados podían subir perfiles de editor y, a través de ellos, colocar archivos arbitrarios en el servidor.

Están afectadas todas las versiones anteriores a 2.9.99.5 —tanto JCE Free como JCE Pro—, y ello con independencia de que el registro público esté activado. La corrección se publicó el 3 de junio de 2026 como 2.9.99.5; tras una auditoría de seguridad completa llegó el 8 de junio de 2026 la versión 2.9.99.6.

La vulnerabilidad está en explotación activa: los atacantes la utilizan para instalar webshells. Como no hace falta iniciar sesión, también corren peligro los sitios sin registro abierto. Resultan especialmente sospechosos los perfiles de editor con nombres aleatorios o asignados al grupo «Público». (Históricamente, JCE ya fue objetivo de ataques masivos en 2011/2012: CVE-2012-2902.)

¿Me afecta? – Cómo comprobarlo

Accede al backend
Inicia sesión en el administrador de Joomla.
Comprueba la versión de JCE
Abre Componentes›JCE Editor. Allí se muestra el número de versión.
Valora la versión
Si la versión es inferior a 2.9.99.5, hay que actuar de inmediato.
Revisa los perfiles de editor
Comprueba si entre los perfiles de editor de JCE hay entradas desconocidas con nombres aleatorios o asignadas al grupo Público.

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad

Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).

Abre el gestor de actualizaciones
Ve a Sistema›Actualizar›Extensiones y haz clic en Buscar actualizaciones.
Actualiza JCE
Selecciona la entrada de JCE y haz clic en Actualizar (versión de destino 2.9.99.5 / 2.9.99.6).
Verifica la versión
Comprueba en Componentes›JCE Editor que la nueva versión está activa.

Instalación manual (alternativa)

Otra opción es descargar el paquete de joomlacontenteditor.net e instalarlo desde Extensiones›Gestionar›Instalar. ¿Suscripción de JCE Pro caducada? Puedes cambiar gratis a JCE Core (Free) o renovar la suscripción; lo único importante es llegar como mínimo a la 2.9.99.5.

Descargar la versión segura

Descarga oficial: JCE Core free · Pro with account. Asegúrate de tener al menos JCE 2.9.99.5 – mejor 2.9.99.6.

¿Han atacado ya tu web?

En explotación activa: revisa tu web

Como la vulnerabilidad ya se está usando para instalar webshells, después de actualizar conviene buscar expresamente archivos introducidos por el atacante y perfiles de editor sospechosos. La actualización cierra la brecha, pero no elimina las puertas traseras ya colocadas: ante la duda, encarga una limpieza profesional y cambia las contraseñas.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Análisis detallado – Website-Bereinigung.deFuncionamiento, detección y limpieza
JoomlaContentEditor (desarrollador)Descargas oficiales y notas de versión

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Volver a todas las vulnerabilidades

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de