JCE-editorin kriittinen tietoturva-aukko – päivitä heti
Turvallinen versio: JCE 2.9.99.5 – mieluummin 2.9.99.6 · JCE Core free · Pro with account
Yhdellä silmäyksellä
com_jceMistä on kyse?
JCE (JoomlaContentEditor) on yksi Joomlan levinneimmistä editoreista. Valmistaja kertoo syyksi puutteellisen pääsynvalvonnan: käyttäjä pystyi ilman kirjautumista lataamaan editoriprofiileja ja tuomaan niiden avulla palvelimelle mitä tahansa tiedostoja.
Haavoittuvia ovat kaikki versiot ennen versiota 2.9.99.5 – sekä JCE Free että JCE Pro – ja tämä riippumatta siitä, onko julkinen rekisteröityminen käytössä. Korjaus julkaistiin 3.6.2026 versiona 2.9.99.5; kattavan tietoturva-auditoinnin jälkeen ilmestyi 8.6.2026 versio 2.9.99.6.
Haavoittuvuutta hyödynnetään aktiivisesti: hyökkääjät asentavat sen avulla webshellejä. Koska kirjautumista ei tarvita, vaarassa ovat myös sivustot, joilla rekisteröityminen ei ole auki. Erityisen epäilyttäviä ovat editoriprofiilit, joilla on satunnainen nimi tai jotka on liitetty ryhmään ”Public”. (JCE oli laajojen hyökkäysten kohteena jo 2011/2012 – CVE-2012-2902.)
Koskeeko tämä minua? – Näin tarkistat
- Avaa hallintapaneeli
Kirjaudu Joomlan ylläpitoon.
- Tarkista JCE:n versio
Avaa Komponentit›JCE Editor. Versionumero näkyy siellä.
- Arvioi versio
Jos versio on vanhempi kuin 2.9.99.5, sinun on toimittava heti.
- Käy editoriprofiilit läpi
Tarkista, onko JCE:n editoriprofiileissa tuntemattomia merkintöjä, joilla on satunnainen nimi tai jotka on liitetty Public-ryhmään.
Näin tukit aukon
- Avaa päivityskeskus
Siirry kohtaan Järjestelmä›Päivitä›Laajennukset ja napsauta Tarkista päivitykset.
- Päivitä JCE
Valitse JCE-rivi ja napsauta Päivitä (kohdeversio 2.9.99.5 / 2.9.99.6).
- Varmista versio
Tarkista kohdasta Komponentit›JCE Editor, että uusi versio on käytössä.
Virallinen lähde: JCE Core free · Pro with account. Varmista, että käytössä on vähintään JCE 2.9.99.5 – mieluummin 2.9.99.6.
Onko sivustolle jo hyökätty?
Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.
Lähteet & lisälukemista
- Yksityiskohtainen analyysi – Website-Bereinigung.deHyökkäyksen kulku, tunnistaminen ja puhdistus
- JoomlaContentEditor (valmistaja)Viralliset lataukset ja julkaisutiedot
Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.
Samankaltaiset tietoturva-aukot
Muita laajennuksia, joissa on vastaavia haavoittuvuuksia. Tarkista, onko jokin niistä asennettuna sivustollesi.
Tämän sivuston tukijat
htprotect.org on maksuton ja valmistajariippumaton tietopalvelu. Sitä tukevat:
Saksalainen Joomla-webhotelli, jolla on aktiivinen yhteisötuki – havaitsi ensimmäisen JCE-tietoturva-aukkoon kohdistuneen hyökkäyksen.
fc-hosting.de
Erikoistunut Joomla- ja WordPress-sivustojen puhdistamiseen, ylläpitoon ja suojaamiseen.
website-bereinigung.deTue tätä projektia
Tarjoatko hosting- tai Joomla-palveluita ja haluat tukea htprotect.orgia – ja näkyä täällä tukijana? Jokainen tuki auttaa varoittamaan ja suojaamaan aukoista kärsiviä nopeammin.
Tuetko mieluummin yksityisesti ilman mainintaa? Pieni kolikko kahvikassaan ilahduttaa meitä aivan yhtä paljon.
Työmaakylttien, työmaa-aitojen ja julkisivuratkaisujen valmistus ja asennus – mukaan lukien suunnittelu ja 3D-visualisointi.
bauschildundservice.deAmmattimainen IT-tuki Tšekistä – Windows-hallinta, toimialueiden ylläpito ja webhotellipalvelut.
defendersoft.cz
Matkailuportaali Saksasta – valmismatkat, hotellit ja lennot verkossa sekä henkilökohtainen matkatoimistoneuvonta.
onlineweg.de
Luova toimisto Brandenburgista – verkkosivujen suunnittelu, painotuotteet, valokuvaus ja 360°-panoraamat samalta toimittajalta.
criadero.deIT-palveluntarjoaja Wächtersbachista – Joomla-verkkosivustot, PC-huolto, laitteet ja ohjelmistot.
jahnedv.de
Tietoturvakonsultointi Berliinistä – tietoturva-analyysit, riskienhallinta ja ISO 27001 pk-yrityksille.
isari-consult.de
Mediasuunnittelua Friedrichshafenista – Joomla- ja WordPress-sivustot, verkkokaupat, grafiikka ja 3D.
schippelbein.com