La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado dos fallas de seguridad de máxima gravedad que afectan las extensiones iCagenda y Balbooa de Joomla a su catálogo de vulnerabilidades explotadas conocidas (KEV) luego de informes de vulnerabilidades de día cero en la naturaleza.
Ambas vulnerabilidades tienen una calificación de 10.0 en el sistema de puntuación CVSS y son:
CVE-2026-48939: una vulnerabilidad en la extensión iCagenda para Joomla permite cargar archivos arbitrarios a través de la función de archivos adjuntos, lo que permite cargar y ejecutar código PHP. CVE-2026-56291: Una vulnerabilidad en la extensión Balbooa Forms para Joomla permite la carga de archivos arbitrarios y la ejecución remota de código.
Según mySites.guru, un servicio de panel de control basado en la nube para administrar sitios web de WordPress y Joomla, se dice que CVE-2026-48939 ha sido explotado como día cero en ataques automatizados dirigidos a sitios de Joomla con iCagenda instalado desde el 15 de junio de 2026. Esto se encuentra en la función de formulario «Enviar un evento» y permite a los usuarios sugerir eventos para su calendario.
«Primero observamos este problema en los registros de acceso del cliente. Un escáner automatizado que se identificó como ‘icagenda-batch/1.0’ obtuvo un token, publicó una carga maliciosa en el punto final de envío y obtuvo un shell colocado en la ruta exacta donde el componente escribió el archivo adjunto», dijo mySites.guru.
Este fallo afecta a las siguientes versiones:
Versiones 4.x hasta 4.0.7 Versiones 3.x heredadas 3.2.1 a 3.9.14
Desde entonces, JoomliC lanzó una actualización que soluciona el problema en las versiones 4.0.8 y 3.9.15 de iCagenda. Se recomienda a los propietarios de sitios que busquen y eliminen archivos PHP sospechosos en la carpeta «images/icagenda/frontend/attachments/».
MySites.guru dijo que también observó un exploit de día cero de CVE-2026-56291 que afecta a Balbooa Forms versiones 2.4.0 e inferiores. La versión 2.4.1 está parcheada.
«Hasta la versión 2.4.0, su interfaz tenía una falla crítica en la carga de archivos adjuntos: aceptaba archivos de visitantes anónimos sin requerir inicios de sesión, tokens CSRF o verificaciones de tipo de archivo», dijo la compañía. «Un atacante podría cargar un archivo PHP en una carpeta pública y ejecutarlo. Esta es una ejecución remota de código no autenticado y es el peor resultado posible de una falla web».
Esta vulnerabilidad fue descubierta por mySites.guru el 8 de julio de 2026 luego de un ataque en vivo contra uno de sus clientes. Se han compartido indicadores de compromiso, entre ellos:
Busque archivos que no sean imágenes o documentos en la carpeta de carga de Balbooa Forms («images/baforms/uploads» por defecto), especialmente aquellos que terminan en PHP. Consulte su lista de usuarios de Joomla para detectar cuentas de administrador sospechosas. Audite un conjunto de archivos PHP recientemente modificados o desconocidos en su sitio.
A la luz de la explotación activa, las agencias del Poder Ejecutivo Civil Federal (FCEB) tienen hasta el 13 de julio de 2026 para implementar correcciones en sus redes.
Australia advierte sobre una campaña global dirigida a sistemas CMS vulnerables
La divulgación se produce después de que el Centro Australiano de Seguridad Cibernética (ACSC) emitiera una advertencia sobre una campaña global de explotación dirigida a diversas vulnerabilidades en los sistemas de gestión de contenidos (CMS) y complementos.
«Como parte de esta campaña, los ciberatacantes maliciosos están escaneando activamente los sitios web en busca de oportunidades para implementar web shells, explotando varias vulnerabilidades que afectan el software y los complementos CMS», dijo la agencia. «Estas vulnerabilidades permiten principalmente la carga de archivos no autenticados, la ejecución remota de código y la falsificación o deserialización de solicitudes del lado del servidor».
Una vez implementado, el web shell actúa como un conducto para el acceso remoto y el control del servidor web de destino. Algunas de las vulnerabilidades de seguridad identificadas se enumeran a continuación.
«Esta campaña de explotación global a gran escala demuestra los riesgos cibernéticos en rápida evolución que enfrentan las organizaciones», dijo la ACSC, y agregó: «Los avances en IA están acelerando la velocidad y la escala de las operaciones cibernéticas, reduciendo el tiempo entre la divulgación de vulnerabilidades y la explotación».
Source link
