HTProtect.org
Onafhankelijke informatiesite over Joomla-beveiligingslekken
NL
HTProtect HTProtect JOOMLA SECURITY
Nieuw htprotect.app - Centraal sitebeheer voor meerdere Joomla-websites
htprotect.org Beveiligingslekken & updatehandleidingen
Nieuw htprotect.app - Centraal sitebeheer voor meerdere Joomla-websites
Beveiligingslek

iCagenda: kritiek beveiligingslek – upload zonder login

KritiekCVE-2026-48939
Kom nu in actie
Werk iCagenda bij naar 4.0.8 (op Joomla 3 naar 3.9.15).
Veilige versie downloaden Naar de updatestappen

Veilige versie: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download

In het kort

Getroffen extensie
iCagenda – evenementenkalender
Ontwikkelaar
iCagenda
Type kwetsbaarheid
Ontbrekende logincontrole in het evenementenformulier (gasten kunnen evenementen aanmaken); op Joomla 6 een kritieke bestandsupload zonder authenticatie
Getroffen versies
iCagenda 3.2.1 tot en met 4.0.7
Veilige versie
iCagenda 4.0.8 (Joomla 3: 3.9.15)   Downloaden
Ernst
Kritiek
CVE
CVE-2026-48939
Joomla-compatibiliteit
Joomla 3 / 4 / 5 / 6
Status / publicatie
Gepubliceerd: 15 juni 2026

Waar gaat het om?

iCagenda is een veelgebruikte extensie voor evenementenkalenders. In het formulier voor het insturen van evenementen ontbrak een echte logincontrole – daardoor konden ook niet-ingelogde bezoekers evenementen aanmaken, zelfs als het formulier alleen voor geregistreerde gebruikers bedoeld was. Op Joomla 6 (6.0.0–6.1.1) is daarmee een bestandsupload uit te lokken – daar is het lek kritiek; andere Joomla-versies zijn daar niet gevoelig voor.

Kwetsbaar is iCagenda 3.2.1 tot en met 4.0.7 (versies vóór 3.2.1 zijn niet getroffen). De oplossing verscheen op 15 juni 2026 als iCagenda 4.0.8; voor Joomla 3 is er daarnaast iCagenda 3.9.15 (16 juni 2026). Het lek is geregistreerd als CVE-2026-48939.

Geüploade bestanden komen doorgaans terecht in images/icagenda/frontend/. Met een .htaccess-regel kun je het uitvoeren van PHP in die map blokkeren – een zinvolle extra beveiliging, maar geen vervanging van de update.

Snelheid telt
Zodra de technische details openbaar zijn, pikken geautomatiseerde scanners zulke lekken doorgaans binnen enkele uren op. Werk daarom snel bij.

Ben ik getroffen? – Zo controleer je het

  1. Open de backend

    Log in op de Joomla-beheeromgeving (administrator).

  2. Controleer de iCagenda-versie

    Open Extensies›Beheren›Beheren en filter op ‘iCagenda’.

  3. Beoordeel de versie

    Ligt de versie tussen 3.2.1 en 4.0.7, dan is actie nodig – op Joomla 6 is het lek kritiek.

Zo dicht je het lek

Vóór elke update: maak een back-up
Zet je bestanden en database veilig voordat je updatet – dan kun je terug als er iets misgaat (bijvoorbeeld met Akeeba Backup of via je hostingprovider).
  1. Open het updatecentrum

    Ga naar Systeem›Bijwerken›Extensies en klik op Controleer op updates.

  2. Werk iCagenda bij

    Selecteer het iCagenda-item en klik op Bijwerken (doelversie 4.0.8; op Joomla 3 3.9.15).

  3. Controleer de versie

    Ga na of nu 4.0.8 (of 3.9.15 op Joomla 3) of nieuwer geïnstalleerd is.

Handmatige installatie (alternatief)
Je kunt het pakket ook downloaden van icagenda.com en installeren via Extensies›Beheren›Installeren. Belangrijk: zet geen oude back-upbestanden terug – installeer versie 4.0.8 (op Joomla 3: 3.9.15) schoon.
Veilige versie downloaden

Officiële bron: free download. Zorg voor minimaal iCagenda 4.0.8 (Joomla 3: 3.9.15).

Is de site al aangevallen?

Al aangevallen sites hebben meer nodig dan een update
Controleer de map images/icagenda/frontend/ op vreemde bestanden. Bij een besmetting is een gestructureerde opschoning nodig – losse bestanden verwijderen is niet genoeg.

Hulp nodig bij het opschonen? Geschikte specialisten vind je in de Joomla Service Providers Directory.

Bronnen & meer informatie

De officiële informatie van de betreffende ontwikkelaar is altijd leidend. Deze pagina vat openbaar beschikbare informatie neutraal samen.

Terug naar alle beveiligingslekken
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de