HTProtect.org
Joomla güvenlik açıkları hakkında bağımsız bilgi sitesi
TR
HTProtect HTProtect JOOMLA SECURITY
Yeni htprotect.app - Birden fazla web sitesi için merkezi Joomla site yönetimi
htprotect.org Güvenlik açıkları & güncelleme rehberleri
Yeni htprotect.app - Birden fazla web sitesi için merkezi Joomla site yönetimi
Güvenlik açığı

JCE'de kritik dosya yükleme açığı, aktif olarak sömürülüyor

Kritik Aktif olarak istismar ediliyorCVE: Belirli bir CVE atanmadı
Hemen harekete geçin
JCE'yi hemen 2.9.99.5 (daha iyisi 2.9.99.6) sürümüne güncelleyin – açık aktif olarak sömürülüyor.
Güvenli sürümü indirin Güncelleme adımlarına gidin

Güvenli sürüm: JCE 2.9.99.5 – daha iyisi 2.9.99.6 · JCE Core free · Pro with account

Bir bakışta

Etkilenen eklenti
JCE Editor – Free & Pro, com_jce bileşeni
Üretici
JoomlaContentEditor
Açığın türü
Yetersiz erişim denetimi → kimlik doğrulaması olmadan istenen her dosyanın yüklenmesi (editör profilleri üzerinden)
Etkilenen sürümler
2.9.99.5 öncesindeki tüm sürümler (Free ve Pro)
Güvenli sürüm
JCE 2.9.99.5 – daha iyisi 2.9.99.6   İndirin
Önem derecesi
Kritik · aktif olarak istismar ediliyor
CVE
Belirli bir CVE atanmadı
Joomla uyumluluğu
Joomla 3 / 4 / 5 / 6
Durum / yayın tarihi
Düzeltme: 3 Haziran 2026 · ek sürüm 2.9.99.6: 8 Haziran 2026

Bu güvenlik açığı nedir?

JCE (JoomlaContentEditor), Joomla için en yaygın kullanılan editörlerden biridir. Üretici, açığın nedenini yetersiz erişim denetimi olarak tanımlıyor: oturum açmamış kullanıcılar editör profilleri yükleyebiliyor, bunlar üzerinden de sunucuya istedikleri dosyaları bırakabiliyordu.

Açıktan 2.9.99.5 öncesindeki tüm sürümler etkileniyor – hem JCE Free hem JCE Pro – üstelik siteye üyelik kaydının açık olup olmaması fark etmiyor. Düzeltme 3 Haziran 2026'da 2.9.99.5 sürümüyle yayımlandı; kapsamlı bir güvenlik denetiminin ardından 8 Haziran 2026'da 2.9.99.6 sürümü geldi.

Açık aktif olarak sömürülüyor: saldırganlar bu yolla web shell kuruyor. Oturum açmak gerekmediği için üyelik kaydı kapalı siteler de risk altında. Rastgele adlar taşıyan ya da “Public” grubuna atanmış editör profilleri özellikle şüphelidir. (JCE geçmişte de, 2011/2012'de, geniş çaplı saldırıların hedefi olmuştu – CVE-2012-2902.)

Sitem etkileniyor mu? – Nasıl kontrol edersiniz

  1. Yönetici panelini açın

    Joomla yönetici paneline giriş yapın.

  2. JCE sürümünü kontrol edin

    Bileşenler›JCE Editor yolunu açın. Sürüm numarası orada görünür.

  3. Sürümü değerlendirin

    Sürüm 2.9.99.5 altındaysa acilen harekete geçmeniz gerekir.

  4. Editör profillerini gözden geçirin

    JCE editör profillerinde rastgele adlı ya da Public grubuna atanmış, tanımadığınız kayıtlar olup olmadığını kontrol edin.

Güvenlik açığını nasıl kapatırsınız?

Her güncellemeden önce: yedek alın
Güncellemeden önce dosyalarınızı ve veritabanınızı yedekleyin – bir sorun çıkarsa eski duruma kolayca dönebilirsiniz (ör. Akeeba Backup ile veya hosting sağlayıcınız üzerinden).
  1. Güncelleme merkezini açın

    Sistem›Güncelle›Eklentiler yolunu izleyin ve Güncellemeleri Bul düğmesine tıklayın.

  2. JCE'yi güncelleyin

    JCE kaydını seçip Güncelle düğmesine tıklayın (hedef sürüm 2.9.99.5 / 2.9.99.6).

  3. Sürümü doğrulayın

    Bileşenler›JCE Editor altından yeni sürümün etkin olduğunu doğrulayın.

Elle kurulum (alternatif)
Alternatif olarak paketi joomlacontenteditor.net adresinden indirip Eklentiler›Yönet›Kur yolundan kurabilirsiniz. JCE Pro aboneliğiniz sona mı erdi? İster ücretsiz JCE Core sürümüne geçin, ister aboneliği yenileyin – önemli olan tek şey en az 2.9.99.5 sürümüne ulaşmaktır.
Güvenli sürümü indirin

Resmi kaynak: JCE Core free · Pro with account. Gerekli en düşük sürüm: JCE 2.9.99.5 – daha iyisi 2.9.99.6.

Siteniz saldırıya uğradı mı?

Aktif olarak sömürülüyor – sitenizi kontrol edin
Açık zaten web shell yerleştirmek için kötüye kullanıldığından, güncellemenin ardından sunucunuza bırakılmış dosyaları ve şüpheli editör profillerini özellikle aramanız gerekir. Güncelleme açığı kapatır, ancak daha önce yerleştirilmiş arka kapıları temizlemez – tereddüt ederseniz siteyi uzmanına temizletin ve parolaları değiştirin.

Sitenizin temizlenmesi konusunda yardıma mı ihtiyacınız var? Nitelikli uzmanları Joomla Hizmet Sağlayıcıları Dizini üzerinden bulabilirsiniz.

Kaynaklar & ek bilgiler

Her zaman ilgili üreticinin resmi bilgileri esas alınır. Bu sayfa, kamuya açık bilgileri tarafsız biçimde özetler.

Tüm güvenlik açıklarına dönün
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de