CVE-2026-48907: falla critica nell'editor JCE di Joomla

CVE-2026-48907 riguarda l'estensione JCE editor per Joomla, un componente aggiuntivo molto diffuso per la gestione dei contenuti su questo CMS. Il problema consente a un utente non autenticato di creare nuovi profili editor, aprendo la strada al caricamento e all'esecuzione di codice PHP sul server compromesso.

I dati NVD attribuiscono alla vulnerabilità un punteggio CVSS di 9,8, fascia critica. La falla è stata pubblicata il 5 giugno 2026. Il 29 ottobre 2026 sono stati osservati segnali di repository pubblici che dichiarano di contenere exploit: un indicatore di interesse della comunità di sicurezza, non una conferma di sfruttamento attivo, che nei dati non risulta confermato.

Vista la gravità critica e la possibilità di esecuzione di codice senza autenticazione, chi usa Joomla con JCE dovrebbe verificare con priorità la versione installata e consultare le fonti ufficiali per eventuali patch. In assenza di dettagli su versioni e correzioni, si raccomandano controlli compensativi: restringere l'accesso alle aree amministrative, monitorare la creazione di nuovi profili editor e file PHP non previsti, e seguire gli annunci di sicurezza di Joomla e delle sue estensioni.