JCE: критическая уязвимость в Joomla, атаки уже идут
Безопасная версия: JCE 2.9.99.5 — лучше 2.9.99.6 · JCE Core free · Pro with account
Коротко о главном
com_jceВ чём суть уязвимости?
JCE (JoomlaContentEditor) — один из самых распространённых редакторов для Joomla. Разработчик называет причиной недостаточный контроль доступа: пользователи, не прошедшие аутентификацию, могли загружать профили редактора и через них размещать на сервере произвольные файлы.
Уязвимы все версии ниже 2.9.99.5 — как JCE Free, так и JCE Pro — причём независимо от того, включена ли открытая регистрация. Исправление вышло 3 июня 2026 года в версии 2.9.99.5; после полного аудита безопасности за ней 8 июня 2026 года последовала версия 2.9.99.6.
Уязвимость активно эксплуатируется: через неё злоумышленники устанавливают веб-шеллы. Поскольку вход в систему не требуется, под угрозой и те сайты, где регистрация закрыта. Особенно подозрительны профили редактора со случайными именами или с привязкой к группе «Public». (Массовым атакам JCE подвергался ещё в 2011/2012 годах — CVE-2012-2902.)
Мой сайт уязвим? – Как это проверить
- Откройте панель управления
Войдите в административный раздел Joomla.
- Проверьте версию JCE
Откройте Компоненты›JCE Editor. Номер версии указан на этой странице.
- Оцените версию
Если версия ниже 2.9.99.5, действовать нужно немедленно.
- Проверьте профили редактора
Просмотрите профили редактора JCE и найдите незнакомые записи со случайными именами или с привязкой к группе Public.
Как закрыть уязвимость
- Откройте центр обновлений
Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.
- Обновите JCE
Выберите запись JCE и нажмите Обновить (целевая версия 2.9.99.5 / 2.9.99.6).
- Проверьте версию
Убедитесь в разделе Компоненты›JCE Editor, что активна новая версия.
Официальный источник: JCE Core free · Pro with account. Убедитесь, что установлена версия не ниже JCE 2.9.99.5 — лучше 2.9.99.6.
Сайт уже взломали?
Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.
Источники & полезные ссылки
- Подробный разбор — Website-Bereinigung.deКак происходит атака, обнаружение, очистка
- JoomlaContentEditor (разработчик)Официальные загрузки и примечания к выпускам
Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.
Supporters of this site
htprotect.org is a free, vendor-independent information service. It is supported by:
Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.
fc-hosting.de
Specialised in cleaning, maintaining and securing Joomla and WordPress websites.
website-bereinigung.deSupport this project
You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.
Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.
Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.
bauschildundservice.deProfessional IT support from Czechia – Windows management, domain administration and web hosting.
defendersoft.cz
Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.
onlineweg.de
Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.
criadero.deIT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.
jahnedv.de
Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.
isari-consult.de