HTProtect.org
Независимый информационный сайт об уязвимостях Joomla
RU
HTProtect HTProtect JOOMLA SECURITY
Новинка htprotect.app - Централизованное управление несколькими сайтами на Joomla
htprotect.org Уязвимости & инструкции по обновлению
Новинка htprotect.app - Централизованное управление несколькими сайтами на Joomla
Уязвимость безопасности

iCagenda: критическая уязвимость Joomla, загрузка файлов

КритическийCVE-2026-48939
Действуйте сейчас
Обновите iCagenda до версии 4.0.8 (на Joomla 3 — до 3.9.15).
Скачать безопасную версию Перейти к шагам обновления

Безопасная версия: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download

Коротко о главном

Уязвимое расширение
iCagenda — календарь мероприятий и событий
Разработчик
iCagenda
Тип уязвимости
В форме отправки мероприятий не проверяется вход в систему (события могут создавать гости); на Joomla 6 — критическая загрузка файлов без аутентификации
Уязвимые версии
iCagenda с 3.2.1 по 4.0.7
Безопасная версия
iCagenda 4.0.8 (Joomla 3: 3.9.15)   Скачать
Уровень опасности
Критический
CVE
CVE-2026-48939
Совместимость с Joomla
Joomla 3 / 4 / 5 / 6
Актуально на / опубликовано
Опубликовано: 15 июня 2026 г.

В чём суть уязвимости?

iCagenda — широко распространённое расширение для календарей мероприятий. В форме отправки событий отсутствовала полноценная проверка входа в систему — из-за этого создавать события могли даже не прошедшие аутентификацию посетители, хотя форма предназначалась только для зарегистрированных пользователей. На Joomla 6 (6.0.0–6.1.1) через неё можно инициировать загрузку файлов — там уязвимость критическая; остальных версий Joomla это не касается.

Уязвимы версии iCagenda с 3.2.1 по 4.0.7 (выпуски до 3.2.1 не затронуты). Исправление вышло 15 июня 2026 года в версии iCagenda 4.0.8; для Joomla 3 дополнительно выпущена iCagenda 3.9.15 (16 июня 2026 года). Уязвимость зарегистрирована под идентификатором CVE-2026-48939.

Загруженные файлы обычно оказываются в каталоге images/icagenda/frontend/. Правило в .htaccess может запретить выполнение PHP в этой папке — разумная мера защиты, но обновление она не заменяет.

Фактор времени
Как только технические подробности становятся публичными, автоматические сканеры, как показывает опыт, начинают искать такие уязвимости уже через считаные часы. Поэтому не откладывайте обновление.

Мой сайт уязвим? – Как это проверить

  1. Откройте панель администратора

    Войдите в административную панель Joomla.

  2. Проверьте версию iCagenda

    Откройте Расширения›Управление›Управление и отфильтруйте список по названию «iCagenda».

  3. Оцените версию

    Если версия попадает в диапазон от 3.2.1 до 4.0.7, необходимо действовать — на Joomla 6 уязвимость критическая.

Как закрыть уязвимость

Перед каждым обновлением: резервная копия
Сделайте резервную копию файлов и базы данных до обновления — так вы сможете вернуть сайт в рабочее состояние, если что-то пойдёт не так (например, через Akeeba Backup или панель вашего хостинга).
  1. Откройте центр обновлений

    Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.

  2. Обновите iCagenda

    Выберите запись iCagenda и нажмите Обновить (целевая версия 4.0.8; на Joomla 3 — 3.9.15).

  3. Проверьте версию

    Убедитесь, что теперь установлена версия 4.0.8 (либо 3.9.15 на Joomla 3) или новее.

Установка вручную (альтернативный способ)
Как вариант, скачайте пакет с сайта icagenda.com и установите его через Расширения›Управление›Установка. Важно: не возвращайте старые файлы из резервных копий — установите начисто версию 4.0.8 (на Joomla 3: 3.9.15).
Скачать безопасную версию

Официальный источник: free download. Убедитесь, что установлена версия не ниже iCagenda 4.0.8 (Joomla 3: 3.9.15).

Сайт уже взломали?

Уже атакованным сайтам одного обновления недостаточно
Проверьте каталог images/icagenda/frontend/ на наличие чужих файлов. Если сайт заражён, потребуется системная очистка — простого удаления отдельных файлов мало.

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Ко всем уязвимостям
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de