JCE-editorin kriittinen tietoturva-aukko – päivitä heti
Turvallinen versio: JCE 2.9.99.5 – mieluummin 2.9.99.6 · JCE Core free · Pro with account
Yhdellä silmäyksellä
com_jceMistä on kyse?
JCE (JoomlaContentEditor) on yksi Joomlan levinneimmistä editoreista. Valmistaja kertoo syyksi puutteellisen pääsynvalvonnan: käyttäjä pystyi ilman kirjautumista lataamaan editoriprofiileja ja tuomaan niiden avulla palvelimelle mitä tahansa tiedostoja.
Haavoittuvia ovat kaikki versiot ennen versiota 2.9.99.5 – sekä JCE Free että JCE Pro – ja tämä riippumatta siitä, onko julkinen rekisteröityminen käytössä. Korjaus julkaistiin 3.6.2026 versiona 2.9.99.5; kattavan tietoturva-auditoinnin jälkeen ilmestyi 8.6.2026 versio 2.9.99.6.
Haavoittuvuutta hyödynnetään aktiivisesti: hyökkääjät asentavat sen avulla webshellejä. Koska kirjautumista ei tarvita, vaarassa ovat myös sivustot, joilla rekisteröityminen ei ole auki. Erityisen epäilyttäviä ovat editoriprofiilit, joilla on satunnainen nimi tai jotka on liitetty ryhmään ”Public”. (JCE oli laajojen hyökkäysten kohteena jo 2011/2012 – CVE-2012-2902.)
Koskeeko tämä minua? – Näin tarkistat
- Avaa hallintapaneeli
Kirjaudu Joomlan ylläpitoon.
- Tarkista JCE:n versio
Avaa Komponentit›JCE Editor. Versionumero näkyy siellä.
- Arvioi versio
Jos versio on vanhempi kuin 2.9.99.5, sinun on toimittava heti.
- Käy editoriprofiilit läpi
Tarkista, onko JCE:n editoriprofiileissa tuntemattomia merkintöjä, joilla on satunnainen nimi tai jotka on liitetty Public-ryhmään.
Näin tukit aukon
- Avaa päivityskeskus
Siirry kohtaan Järjestelmä›Päivitä›Laajennukset ja napsauta Tarkista päivitykset.
- Päivitä JCE
Valitse JCE-rivi ja napsauta Päivitä (kohdeversio 2.9.99.5 / 2.9.99.6).
- Varmista versio
Tarkista kohdasta Komponentit›JCE Editor, että uusi versio on käytössä.
Virallinen lähde: JCE Core free · Pro with account. Varmista, että käytössä on vähintään JCE 2.9.99.5 – mieluummin 2.9.99.6.
Onko sivustolle jo hyökätty?
Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.
Lähteet & lisälukemista
- Yksityiskohtainen analyysi – Website-Bereinigung.deHyökkäyksen kulku, tunnistaminen ja puhdistus
- JoomlaContentEditor (valmistaja)Viralliset lataukset ja julkaisutiedot
Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.
Supporters of this site
htprotect.org is a free, vendor-independent information service. It is supported by:
Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.
fc-hosting.de
Specialised in cleaning, maintaining and securing Joomla and WordPress websites.
website-bereinigung.deSupport this project
You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.
Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.
Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.
bauschildundservice.deProfessional IT support from Czechia – Windows management, domain administration and web hosting.
defendersoft.cz
Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.
onlineweg.de
Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.
criadero.deIT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.
jahnedv.de
Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.
isari-consult.de