Kritisk säkerhetsbrist i Joomla-editorn JCE utnyttjas
Säker version: JCE 2.9.99.5 – helst 2.9.99.6 · JCE Core free · Pro with account
I korthet
com_jceVad handlar det om?
JCE (JoomlaContentEditor) är en av de mest spridda editorerna för Joomla. Utvecklaren anger otillräcklig åtkomstkontroll som orsak: användare utan inloggning kunde ladda upp editorprofiler och genom dem lägga godtyckliga filer på servern.
Alla versioner före 2.9.99.5 är drabbade – både JCE Free och JCE Pro. Det gäller oavsett om öppen registrering är aktiverad. Rättningen kom den 3 juni 2026 i version 2.9.99.5; efter en fullständig säkerhetsgranskning följde version 2.9.99.6 den 8 juni 2026.
Säkerhetsbristen utnyttjas aktivt: angripare använder den för att installera webbskal. Eftersom ingen inloggning krävs är även webbplatser utan öppen registrering utsatta. Särskilt misstänkta är editorprofiler med slumpmässiga namn eller en koppling till ”Public”. (Historiskt sett var JCE måltavla för storskaliga angrepp redan 2011/2012 – CVE-2012-2902.)
Är jag drabbad? – så här kontrollerar du
- Öppna administratörsgränssnittet
Logga in i Joomlas administratörsgränssnitt.
- Kontrollera JCE-versionen
Öppna Komponenter›JCE Editor. Versionsnumret visas där.
- Bedöm versionen
Är versionen lägre än 2.9.99.5 behöver du agera omgående.
- Granska editorprofilerna
Kontrollera JCE:s editorprofiler efter okända poster med slumpmässiga namn eller koppling till Public.
Så åtgärdar du säkerhetsbristen
- Öppna uppdateringscentret
Gå till System›Uppdatera›Tillägg och klicka på Sök efter uppdateringar.
- Uppdatera JCE
Markera posten JCE och klicka på Uppdatera (målversion 2.9.99.5 / 2.9.99.6).
- Kontrollera versionen
Kontrollera under Komponenter›JCE Editor att den nya versionen är aktiv.
Officiell källa: JCE Core free · Pro with account. Se till att du har minst JCE 2.9.99.5 – helst 2.9.99.6.
Har webbplatsen redan blivit hackad?
Behöver du hjälp med saneringen? Du hittar kunniga specialister i Joomlas katalog över tjänsteleverantörer.
Källor & mer information
- Detaljerad analys – Website-Bereinigung.deFörlopp, upptäckt och sanering
- JoomlaContentEditor (utvecklaren)Officiella nedladdningar och versionsinformation
Det är alltid respektive utvecklares officiella uppgifter som gäller. Den här sidan sammanfattar offentligt tillgänglig information på ett neutralt sätt.
Liknande säkerhetsbrister
Andra tillägg med jämförbara svagheter. Kontrollera om något av dem är installerat på din webbplats.
Stödjare av den här sidan
htprotect.org är en kostnadsfri och utvecklaroberoende informationstjänst. Sidan stöds av:
Joomla-webbhotell från Tyskland med aktiv community-support – upptäckte den första attacken mot säkerhetsbristen i JCE.
fc-hosting.de
Specialiserade på sanering, underhåll och säkring av Joomla- och WordPress-webbplatser.
website-bereinigung.deStöd det här projektet
Driver du en hosting- eller Joomla-tjänst och vill stötta htprotect.org – och synas här som stödjare? Varje bidrag hjälper oss att varna och skydda drabbade snabbare.
Vill du hellre bidra privat, utan att nämnas? Ett litet bidrag till kaffekassan är lika välkommet.
Tillverkning och montering av byggskyltar, byggstängsel och fasadlösningar – inklusive design och 3D-visualisering.
bauschildundservice.deProfessionell IT-support från Tjeckien – Windows-hantering, domänadministration och webbhotell.
defendersoft.cz
Reseportal från Tyskland – paketresor, hotell och flyg online, med personlig rådgivning från resebyrå.
onlineweg.de
Kreativbyrå från Brandenburg – webbdesign, trycksaker, fotografi och 360°-panoraman från en och samma leverantör.
criadero.deIT-leverantör från Wächtersbach – Joomla-webbplatser, PC-service, hårdvara och mjukvara.
jahnedv.de
Rådgivning inom informationssäkerhet från Berlin – säkerhetsanalyser, riskhantering och ISO 27001 för små och medelstora företag.
isari-consult.de
Mediedesign från Friedrichshafen – webbplatser med Joomla och WordPress, webbshoppar, grafik och 3D.
schippelbein.com