JCE: срочное обновление безопасности

Содержание

Важная информация для всех владельцев сайтов на Joomla! В начале июня 2026 года специалистами по безопасности была обнаружена критическая уязвимость в популярном редакторе JCE (Joomla Content Editor).

Уязвимость получила идентификатор CVE-2026-48907 и оценку 10.0 баллов по шкале CVSS v4.0, что соответствует максимальному уровню угрозы. Злоумышленники уже начали сканирование интернета на предмет уязвимых сайтов.

Мы настоятельно рекомендуем немедленно проверить ваши проекты. Промедление с обновлением приведет к полной компрометации сайта.

Механизм атаки: почему это опасно?

Уязвимость заключается в нарушении контроля доступа (CWE-284) в компоненте JCE . В отличие от многих других дыр в безопасности, эта атака не требует авторизации. Это означает, что хакеру не нужно знать ваш пароль от админки.

Как происходит взлом:

Создание профиля: Неаутентифицированный пользователь отправляет специально сформированный HTTP-запрос к компоненту JCE, который позволяет создать новый профиль редактора (Editor Profile) .
Маскировка: В созданном профиле злоумышленник назначает права на загрузку файлов группе "Public" (Все посетители сайта) .
Загрузка шелла: Используя этот профиль, хакер заходит в стандартный менеджер файлов JCE (обычно используемый для загрузки изображений в статьи) и загружает файл.
- Хитрость: Часто файл маскируется под image.gif (валидный GIF, содержащий внутри PHP-код) или файл с двойным расширением (image.php.gif).
Выполнение кода: После загрузки файла в папку /images, злоумышленник переименовывает его (или выполняет напрямую, если сервер настроен небрежно), превращая в shell.php.
Результат: Хакер получает доступ к файловой системе вашего сервера, может изменить базу данных, установить вредоносное ПО (вирусы, майнеры) или перенаправить трафик на мошеннические сайты.

Кто в зоне риска?

В зоне риска находятся все сайты, на которых установлен компонент JCE версии ниже 2.9.99.5, включая версии 1.0.0 – 2.9.99.4 .
Если вы не знаете, какая версия JCE у вас стоит — вы в зоне риска.

Решение проблемы: Пошаговая инструкция

Разработчики JCE оперативно выпустили исправленные версии. Для устранения уязвимости необходимо выполнить строгий алгоритм действий. На данный момент актуальными безопасными версиями являются 2.9.99.5 (критический патч) и 2.9.99.6 (дополнительное усиление безопасности) .

Шаг 1. Немедленное обновление JCE

Перейдите в панели управления Joomla в раздел Расширения → Управление → Обновления.
Нажмите «Очистить кэш» и «Найти обновления».
Найдите в списке JCE (Joomla Content Editor).
Установите версию не ниже 2.9.99.5 (рекомендуется 2.9.99.6) .

Если обновление не находится:
Скачайте последнюю версию вручную с официального сайта разработчика и установите через Расширения → Управление → Установить.

Шаг 2. Проверка профилей редактора (Критически важно!)

Даже если вы обновились, это не удалит профиль, который мог создать хакер до обновления.

Перейдите в Компоненты → JCE Editor → Профили (Profiles) .
Внимательно осмотрите список. Если вы видите профиль (особенно с нестандартным названием, случайным набором букв или просто новым профилем), у которого в настройках вкладки Permissions (Права) для группы Public стоит разрешение на загрузку файлов — ваш сайт уже взломан .
- Действие: Немедленно удалите такой профиль.

Шаг 3. Ревизия папки images

Раз вы были в зоне риска, нужно проверить, не успел ли злоумышленник загрузить «бэкдор» до того, как вы обновились.

Через Менеджер файлов хостинга или FTP откройте папку images (и все её подпапки, например images/stories или images/sampledata).
Ищите подозрительные файлы:
- Файлы с датой создания, совпадающей с периодом до вашего обновления.
- Файлы с расширениями .php, .phtml, .shtml, которые там явно не должны лежать (обычно в images хранятся только .jpg, .png, .gif, .svg).
- Файлы с названиями вроде jce_5f314aa0.php, jce_5f314aa0.php.gif или набором случайных символов (x19d02.php).

Что делать, если сайт уже взломан?

Если в п. Шаг 2 вы нашли подозрительный профиль, или в п. Шаг 3 нашли лишние PHP-файлы, считайте, что сайт скомпрометирован.

Алгоритм действий при взломе:

НЕ паникуйте и НЕ удаляйте всё подряд, чтобы не сломать сайт окончательно.
Найдите чистую резервную копию (созданную до 1-2 июня 2026 года).
Восстановите сайт из бэкапа.
Немедленно обновите JCE до версии 2.9.99.6 на восстановленном сайте (чтобы дыра не открылась снова).
Смените все пароли: доступ к базе данных, FTP/SSH, хостинг-панели.
Проверьте другие сайты на том же хостинге. Как правило, заражение одного сайта на виртуальном хостинге (если не настроен изоляция) ведет к заражению соседних. Удалите все найденные подозрительные файлы в корнях соседних сайтов.

Внимание!

Просто удалить подозрительные файлы и обновить JCE часто бывает недостаточно. Хакеры оставляют «закладки» (бэкдоры) в ядрах расширений или шаблонов. Без опыта вы можете пропустить скрытые скрипты.

Как защититься на будущее

Включите автоматические обновления для компонента JCE (эта опция есть в настройках обновлений Joomla).
Используйте Admin Tools Pro: Сгенерируйте жесткий .htaccess и включите блокировку выполнения PHP-скриптов в папке /images. Это сделает невозможным запуск загруженного «трояна» даже при наличии другой дыры.
Следите за дайджестами безопасности. Мы публикуем новости об угрозах сразу после их появления.