iCagenda: критическая уязвимость Joomla, загрузка файлов

Коротко о главном

В чём суть уязвимости?

iCagenda — широко распространённое расширение для календарей мероприятий. В форме отправки событий отсутствовала полноценная проверка входа в систему — из-за этого создавать события могли даже не прошедшие аутентификацию посетители, хотя форма предназначалась только для зарегистрированных пользователей. На Joomla 6 (6.0.0–6.1.1) через неё можно инициировать загрузку файлов — там уязвимость критическая; остальных версий Joomla это не касается.

Уязвимы версии iCagenda с 3.2.1 по 4.0.7 (выпуски до 3.2.1 не затронуты). Исправление вышло 15 июня 2026 года в версии iCagenda 4.0.8; для Joomla 3 дополнительно выпущена iCagenda 3.9.15 (16 июня 2026 года). Уязвимость зарегистрирована под идентификатором CVE-2026-48939.

Загруженные файлы обычно оказываются в каталоге images/icagenda/frontend/. Правило в .htaccess может запретить выполнение PHP в этой папке — разумная мера защиты, но обновление она не заменяет.

Мой сайт уязвим? – Как это проверить

1. Откройте панель администратора

   Войдите в административную панель Joomla.

2. Проверьте версию iCagenda

   Откройте Расширения›Управление›Управление и отфильтруйте список по названию «iCagenda».

3. Оцените версию

   Если версия попадает в диапазон от 3.2.1 до 4.0.7, необходимо действовать — на Joomla 6 уязвимость критическая.

Как закрыть уязвимость

1. Откройте центр обновлений

   Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.

2. Обновите iCagenda

   Выберите запись iCagenda и нажмите Обновить (целевая версия 4.0.8; на Joomla 3 — 3.9.15).

3. Проверьте версию

   Убедитесь, что теперь установлена версия 4.0.8 (либо 3.9.15 на Joomla 3) или новее.

Официальный источник: free download. Убедитесь, что установлена версия не ниже iCagenda 4.0.8 (Joomla 3: 3.9.15).

Сайт уже взломали?

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

• Официальное уведомление о безопасности — iCagenda (joomlic.com)Бюллетень разработчика: уязвимые версии, исправления, CVE
• Подробный разбор — Website-Bereinigung.deПредыстория, защитные меры, очистка
• iCagenda (разработчик)Официальные загрузки

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Похожие уязвимости

Другие расширения со схожими уязвимостями. Проверьте, не установлено ли какое-либо из них на вашем сайте.

Партнёры этого сайта

htprotect.org — бесплатный информационный проект, независимый от разработчиков. Нас поддерживают:

Хостинг & сообщество

FC-Hosting

Joomla-хостинг из Германии с активной поддержкой сообщества – обнаружил первую атаку на уязвимость в JCE.

fc-hosting.de

Инициатор & оператор

Website-Bereinigung.de

Специализируется на очистке, обслуживании и защите сайтов на Joomla и WordPress.

website-bereinigung.de

Bauschild & Service

Изготовление и монтаж строительных щитов, строительных ограждений и фасадных решений – включая дизайн и 3D-визуализацию.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Профессиональная ИТ-поддержка из Чехии – управление Windows, администрирование доменов и веб-хостинг.

defendersoft.cz

onlineweg.de

Туристический портал из Германии – пакетные туры, отели и авиабилеты онлайн, с личной консультацией турагентства.

onlineweg.de

Criadero

Креативное агентство из Бранденбурга – веб-дизайн, полиграфия, фотосъёмка и панорамы 360°, всё от одного исполнителя.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

ИТ-услуги из города Wächtersbach – сайты на Joomla, обслуживание ПК, аппаратное и программное обеспечение.

jahnedv.de

IsariConsult

Консалтинг по информационной безопасности из Берлина – анализ защищённости, управление рисками и ISO 27001 для малого и среднего бизнеса.

isari-consult.de