HTProtect.org
Незалежний інформаційний сайт про вразливості безпеки Joomla
UK
HTProtect HTProtect JOOMLA SECURITY
Новинка htprotect.app - Централізоване керування кількома сайтами на Joomla
htprotect.org Вразливості & інструкції з оновлення
Новинка htprotect.app - Централізоване керування кількома сайтами на Joomla
Вразливість безпеки

iCagenda: вразливість безпеки Joomla — оновіть до 4.0.8

КритичнийCVE-2026-48939
Дійте зараз
Оновіть iCagenda до версії 4.0.8 (на Joomla 3 — до 3.9.15).
Завантажити безпечну версію Перейти до кроків оновлення

Безпечна версія: iCagenda 4.0.8 (для Joomla 3: 3.9.15) · free download

Коротко про головне

Вразливе розширення
iCagenda — календар подій
Розробник
iCagenda
Тип вразливості
Немає перевірки входу у формі подання подій (їх можуть створювати навіть гості); на Joomla 6 — критичне завантаження файлів без автентифікації
Вразливі версії
iCagenda від 3.2.1 до 4.0.7
Безпечна версія
iCagenda 4.0.8 (для Joomla 3: 3.9.15)   Завантажити
Рівень небезпеки
Критичний
CVE
CVE-2026-48939
Сумісність із Joomla
Joomla 3 / 4 / 5 / 6
Станом на / опубліковано
Опубліковано: 15 червня 2026

Про що йдеться?

iCagenda — поширене розширення для календарів подій. У формі подання подій бракувало справжньої перевірки входу: додавати записи могли навіть відвідувачі без автентифікації, попри те, що форма була призначена лише для зареєстрованих користувачів. На Joomla 6 (6.0.0–6.1.1) через це можна спричинити завантаження файлів на сервер — там вразливість критична; інших версій Joomla це не стосується.

Вразливими є версії iCagenda від 3.2.1 до 4.0.7 (версії до 3.2.1 не вразливі). Виправлення вийшло 15 червня 2026 року як iCagenda 4.0.8; для Joomla 3 додатково випущено iCagenda 3.9.15 (16 червня 2026). Вразливість зареєстровано під ідентифікатором CVE-2026-48939.

Завантажені файли зазвичай потрапляють до каталогу images/icagenda/frontend/. Правило в .htaccess може заборонити виконання PHP у цьому каталозі — це розумний захід із посилення захисту, але він не замінює оновлення.

Фактор часу
Щойно технічні подробиці оприлюднюють, автоматичні сканери, як показує досвід, знаходять такі вразливості за лічені години. Тому не відкладайте оновлення.

Чи стосується це мого сайту? – Як перевірити

  1. Відкрийте панель адміністратора

    Увійдіть до панелі адміністратора Joomla.

  2. Перевірте версію iCagenda

    Відкрийте Розширення›Керування›Керування і відфільтруйте список за назвою «iCagenda».

  3. Оцініть версію

    Якщо версія в діапазоні від 3.2.1 до 4.0.7, потрібно вжити заходів — на Joomla 6 ця вразливість критична.

Як усунути вразливість

Перед кожним оновленням: резервна копія
Перед оновленням створіть резервну копію файлів і бази даних – так ви зможете повернутися до попереднього стану, якщо щось піде не так (наприклад, за допомогою Akeeba Backup або засобами вашого хостинг-провайдера).
  1. Відкрийте центр оновлень

    Перейдіть до Система›Оновлення›Розширення і натисніть Перевірити оновлення.

  2. Оновіть iCagenda

    Позначте запис iCagenda і натисніть Оновити (цільова версія 4.0.8; на Joomla 3 — 3.9.15).

  3. Перевірте версію

    Переконайтеся, що тепер встановлено версію 4.0.8 (на Joomla 3 — 3.9.15) або новішу.

Ручне встановлення (альтернатива)
Або завантажте пакет із icagenda.com і встановіть його через Розширення›Керування›Встановлення. Важливо: не відновлюйте старі файли з резервних копій — виконайте чисте встановлення версії 4.0.8 (на Joomla 3: 3.9.15).
Завантажити безпечну версію

Офіційне джерело: free download. Переконайтеся, що встановлено щонайменше iCagenda 4.0.8 (для Joomla 3: 3.9.15).

Чи вже атакували ваш сайт?

Уже атакованим сайтам самого оновлення замало
Перевірте каталог images/icagenda/frontend/ на наявність сторонніх файлів. Якщо сайт зламано, потрібне структуроване очищення — просто видалити окремі файли недостатньо.

Потрібна допомога з очищенням сайту? Кваліфікованих фахівців ви знайдете в каталозі постачальників послуг Joomla.

Джерела & додаткові матеріали

Пріоритет завжди мають офіційні дані відповідного розробника. Ця сторінка нейтрально узагальнює загальнодоступну інформацію.

Назад до всіх вразливостей
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de