HTProtect.org
Joomla güvenlik açıkları hakkında bağımsız bilgi sitesi
TR
HTProtect HTProtect JOOMLA SECURITY
Yeni htprotect.app - Birden fazla web sitesi için merkezi Joomla site yönetimi
htprotect.org Güvenlik açıkları & güncelleme rehberleri
Yeni htprotect.app - Birden fazla web sitesi için merkezi Joomla site yönetimi
Güvenlik açığı

iCagenda güvenlik açığı: kimlik doğrulamasız dosya yükleme

KritikCVE-2026-48939
Hemen harekete geçin
iCagenda'yı 4.0.8 sürümüne güncelleyin (Joomla 3'te 3.9.15).
Güvenli sürümü indirin Güncelleme adımlarına gidin

Güvenli sürüm: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download

Bir bakışta

Etkilenen eklenti
iCagenda – etkinlik takvimi
Üretici
iCagenda
Açığın türü
Etkinlik formunda oturum açma denetimi eksik (ziyaretçiler etkinlik oluşturabiliyor); Joomla 6'da kimlik doğrulaması gerektirmeyen kritik dosya yükleme
Etkilenen sürümler
iCagenda 3.2.1 ile 4.0.7 arasındaki sürümler
Güvenli sürüm
iCagenda 4.0.8 (Joomla 3: 3.9.15)   İndirin
Önem derecesi
Kritik
CVE
CVE-2026-48939
Joomla uyumluluğu
Joomla 3 / 4 / 5 / 6
Durum / yayın tarihi
Yayımlandı: 15 Haziran 2026

Bu güvenlik açığı nedir?

iCagenda, etkinlik takvimleri için yaygın kullanılan bir Joomla eklentisidir. Etkinlik gönderme formunda gerçek bir oturum açma denetimi yoktu; bu yüzden form yalnızca kayıtlı kullanıcılar için tasarlanmış olsa bile oturum açmamış ziyaretçiler etkinlik oluşturabiliyordu. Joomla 6 (6.0.0–6.1.1) sürümlerinde bu açık bir dosya yükleme saldırısına dönüştürülebiliyor; orada açık kritik düzeydedir. Diğer Joomla sürümleri bundan etkilenmiyor.

Açıktan iCagenda 3.2.1 ile 4.0.7 arasındaki sürümler etkileniyor (3.2.1 öncesindeki sürümler etkilenmiyor). Düzeltme, 15 Haziran 2026'da iCagenda 4.0.8 sürümüyle yayımlandı; Joomla 3 için ayrıca iCagenda 3.9.15 sürümü var (16 Haziran 2026). Açık CVE-2026-48939 kimliğiyle kayıtlı.

Yüklenen dosyalar genellikle images/icagenda/frontend/ klasörüne düşer. Bir .htaccess kuralıyla bu klasörde PHP çalıştırılması engellenebilir; bu yerinde bir sıkılaştırma önlemidir, ancak güncellemenin yerini tutmaz.

Zaman faktörü
Teknik ayrıntılar kamuya açıldıktan sonra otomatik tarama araçları bu tür açıkları genellikle saatler içinde hedef almaya başlar. Bu nedenle güncellemeyi ertelemeyin.

Sitem etkileniyor mu? – Nasıl kontrol edersiniz

  1. Yönetici panelini açın

    Joomla yönetici paneline giriş yapın.

  2. iCagenda sürümünü kontrol edin

    Uzantılar›Yönet›Yönet yolunu açın ve listeyi “iCagenda” için filtreleyin.

  3. Sürümü değerlendirin

    Sürüm 3.2.1 ile 4.0.7 arasındaysa harekete geçmeniz gerekir; Joomla 6'da açık kritik düzeydedir.

Güvenlik açığını nasıl kapatırsınız?

Her güncellemeden önce: yedek alın
Güncellemeden önce dosyalarınızı ve veritabanınızı yedekleyin – bir sorun çıkarsa eski duruma kolayca dönebilirsiniz (ör. Akeeba Backup ile veya hosting sağlayıcınız üzerinden).
  1. Güncelleme merkezini açın

    Sistem›Güncelle›Uzantılar yolunu izleyin ve Güncellemeleri Kontrol Et düğmesine tıklayın.

  2. iCagenda'yı güncelleyin

    iCagenda kaydını seçip Güncelle düğmesine tıklayın (hedef sürüm 4.0.8; Joomla 3'te 3.9.15).

  3. Sürümü doğrulayın

    Artık 4.0.8 (Joomla 3'te 3.9.15) veya daha yeni bir sürümün kurulu olduğunu doğrulayın.

Elle kurulum (alternatif)
Dilerseniz paketi icagenda.com adresinden indirip Uzantılar›Yönet›Kur yolundan da kurabilirsiniz. Önemli: Eski yedek dosyalarını geri yüklemeyin; 4.0.8 sürümünü (Joomla 3'te: 3.9.15) temiz bir şekilde kurun.
Güvenli sürümü indirin

Resmi kaynak: free download. Gerekli en düşük sürüm: iCagenda 4.0.8 (Joomla 3: 3.9.15).

Siteniz saldırıya uğradı mı?

Saldırıya uğramış siteler için güncelleme tek başına yetmez
images/icagenda/frontend/ klasöründe size ait olmayan dosyalar olup olmadığını kontrol edin. Site ele geçirilmişse yapılandırılmış bir temizlik gerekir; tek tek dosyaları silmek yeterli değildir.

Sitenizin temizlenmesi konusunda yardıma mı ihtiyacınız var? Nitelikli uzmanları Joomla Hizmet Sağlayıcıları Dizini üzerinden bulabilirsiniz.

Kaynaklar & ek bilgiler

Her zaman ilgili üreticinin resmi bilgileri esas alınır. Bu sayfa, kamuya açık bilgileri tarafsız biçimde özetler.

Tüm güvenlik açıklarına dönün
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de