Güvenlik açığı

JCE'de kritik dosya yükleme açığı, aktif olarak sömürülüyor

Kritik Aktif olarak istismar ediliyorCVE: Belirli bir CVE atanmadı

Hemen harekete geçin

JCE'yi hemen 2.9.99.5 (daha iyisi 2.9.99.6) sürümüne güncelleyin – açık aktif olarak sömürülüyor.

Güvenli sürümü indirin Güncelleme adımlarına gidin

Güvenli sürüm: JCE 2.9.99.5 – daha iyisi 2.9.99.6 · JCE Core free · Pro with account

Bir bakışta

Etkilenen eklenti

JCE Editor – Free & Pro, com_jce bileşeni

Üretici

JoomlaContentEditor

Açığın türü

Yetersiz erişim denetimi → kimlik doğrulaması olmadan istenen her dosyanın yüklenmesi (editör profilleri üzerinden)

Etkilenen sürümler

2.9.99.5 öncesindeki tüm sürümler (Free ve Pro)

Güvenli sürüm

JCE 2.9.99.5 – daha iyisi 2.9.99.6 İndirin

Önem derecesi

Kritik · aktif olarak istismar ediliyor

CVE

Belirli bir CVE atanmadı

Joomla uyumluluğu

Joomla 3 / 4 / 5 / 6

Durum / yayın tarihi

Düzeltme: 3 Haziran 2026 · ek sürüm 2.9.99.6: 8 Haziran 2026

Bu güvenlik açığı nedir?

JCE (JoomlaContentEditor), Joomla için en yaygın kullanılan editörlerden biridir. Üretici, açığın nedenini yetersiz erişim denetimi olarak tanımlıyor: oturum açmamış kullanıcılar editör profilleri yükleyebiliyor, bunlar üzerinden de sunucuya istedikleri dosyaları bırakabiliyordu.

Açıktan 2.9.99.5 öncesindeki tüm sürümler etkileniyor – hem JCE Free hem JCE Pro – üstelik siteye üyelik kaydının açık olup olmaması fark etmiyor. Düzeltme 3 Haziran 2026'da 2.9.99.5 sürümüyle yayımlandı; kapsamlı bir güvenlik denetiminin ardından 8 Haziran 2026'da 2.9.99.6 sürümü geldi.

Açık aktif olarak sömürülüyor: saldırganlar bu yolla web shell kuruyor. Oturum açmak gerekmediği için üyelik kaydı kapalı siteler de risk altında. Rastgele adlar taşıyan ya da “Public” grubuna atanmış editör profilleri özellikle şüphelidir. (JCE geçmişte de, 2011/2012'de, geniş çaplı saldırıların hedefi olmuştu – CVE-2012-2902.)

Sitem etkileniyor mu? – Nasıl kontrol edersiniz

Yönetici panelini açın
Joomla yönetici paneline giriş yapın.
JCE sürümünü kontrol edin
Bileşenler›JCE Editor yolunu açın. Sürüm numarası orada görünür.
Sürümü değerlendirin
Sürüm 2.9.99.5 altındaysa acilen harekete geçmeniz gerekir.
Editör profillerini gözden geçirin
JCE editör profillerinde rastgele adlı ya da Public grubuna atanmış, tanımadığınız kayıtlar olup olmadığını kontrol edin.

Güvenlik açığını nasıl kapatırsınız?

Her güncellemeden önce: yedek alın

Güncellemeden önce dosyalarınızı ve veritabanınızı yedekleyin – bir sorun çıkarsa eski duruma kolayca dönebilirsiniz (ör. Akeeba Backup ile veya hosting sağlayıcınız üzerinden).

Güncelleme merkezini açın
Sistem›Güncelle›Eklentiler yolunu izleyin ve Güncellemeleri Bul düğmesine tıklayın.
JCE'yi güncelleyin
JCE kaydını seçip Güncelle düğmesine tıklayın (hedef sürüm 2.9.99.5 / 2.9.99.6).
Sürümü doğrulayın
Bileşenler›JCE Editor altından yeni sürümün etkin olduğunu doğrulayın.

Elle kurulum (alternatif)

Alternatif olarak paketi joomlacontenteditor.net adresinden indirip Eklentiler›Yönet›Kur yolundan kurabilirsiniz. JCE Pro aboneliğiniz sona mı erdi? İster ücretsiz JCE Core sürümüne geçin, ister aboneliği yenileyin – önemli olan tek şey en az 2.9.99.5 sürümüne ulaşmaktır.

Güvenli sürümü indirin

Resmi kaynak: JCE Core free · Pro with account. Gerekli en düşük sürüm: JCE 2.9.99.5 – daha iyisi 2.9.99.6.

Siteniz saldırıya uğradı mı?

Aktif olarak sömürülüyor – sitenizi kontrol edin

Açık zaten web shell yerleştirmek için kötüye kullanıldığından, güncellemenin ardından sunucunuza bırakılmış dosyaları ve şüpheli editör profillerini özellikle aramanız gerekir. Güncelleme açığı kapatır, ancak daha önce yerleştirilmiş arka kapıları temizlemez – tereddüt ederseniz siteyi uzmanına temizletin ve parolaları değiştirin.

Sitenizin temizlenmesi konusunda yardıma mı ihtiyacınız var? Nitelikli uzmanları Joomla Hizmet Sağlayıcıları Dizini üzerinden bulabilirsiniz.

Kaynaklar & ek bilgiler

Ayrıntılı analiz – Website-Bereinigung.deSaldırının işleyişi, tespit, temizlik
JoomlaContentEditor (üretici)Resmî indirmeler ve sürüm notları

Her zaman ilgili üreticinin resmi bilgileri esas alınır. Bu sayfa, kamuya açık bilgileri tarafsız biçimde özetler.

Benzer güvenlik açıkları

Benzer türde açıklar barındıran diğer eklentiler. Bunlardan birinin sitenizde kurulu olup olmadığını kontrol edin.

iCagendaKritik

Etkinlik takvimiDaha fazla bilgi

Helix3 FrameworkKritikaktif olarak istismar ediliyor

JoomShaperDaha fazla bilgi

Astroid FrameworkKritikaktif olarak istismar ediliyor

TemPlazaDaha fazla bilgi

Tüm güvenlik açıklarına dönün

Destekçiler

Bu sitenin destekçileri

htprotect.org, ücretsiz ve üreticiden bağımsız bir bilgi hizmetidir. Bu hizmeti destekleyenler:

Hosting sağlayıcı & topluluk

FC-Hosting

Almanya merkezli, aktif topluluk desteği sunan Joomla hosting sağlayıcısı – JCE güvenlik açığına yönelik ilk saldırıyı tespit etti.

fc-hosting.de

Kurucu & işletmeci

Website-Bereinigung.de

Joomla ve WordPress web sitelerinin temizlenmesi, bakımı ve güvenliğinin sağlanması konusunda uzmanlaşmıştır.

website-bereinigung.de

Bu projeye destek olun

Bir hosting ya da Joomla hizmeti mi sunuyorsunuz? htprotect.org'u destekleyerek burada destekçi olarak yer alabilirsiniz – her katkı, etkilenen site sahiplerini daha hızlı uyarmamıza ve daha hızlı korumamıza yardımcı olur.

Adınız anılmadan, sessizce katkıda bulunmayı mı tercih edersiniz? Bahşiş kutusuna bırakacağınız küçük bir katkı da bizi aynı ölçüde sevindirir.

HTProtect'e şimdi destek olun

Bauschild & Service

İnşaat tabelaları, inşaat çitleri ve cephe çözümlerinin üretimi ve montajı – tasarım ve 3D görselleştirme dahil.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Çekya merkezli profesyonel BT desteği – Windows yönetimi, etki alanı yönetimi ve web hosting.

defendersoft.cz

onlineweg.de

Almanya merkezli seyahat portalı – çevrimiçi paket tatiller, oteller ve uçak biletleri; kişiye özel acente danışmanlığıyla.

onlineweg.de

Criadero

Brandenburg merkezli kreatif ajans – web tasarımı, basılı medya, fotoğrafçılık ve 360° panoramalar tek elden.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Wächtersbach merkezli BT hizmet sağlayıcısı – Joomla web siteleri, PC servisi, donanım ve yazılım.

jahnedv.de

IsariConsult

Berlin merkezli bilgi güvenliği danışmanlığı – KOBİ'ler için güvenlik analizleri, risk yönetimi ve ISO 27001.

isari-consult.de

Schippelbein Mediengestaltung

Friedrichshafen merkezli medya tasarımı – Joomla ve WordPress siteleri, online mağazalar, grafik ve 3D.

schippelbein.com