CISA הוסיפה חולשה קריטית (CVSS 10) ב-Joomla JCE לקטלוג ה-KEV
צוות CyberHub · לפני 1 חודשים · 1 דק׳ קריאה
TL;DR · בקצרה
CISA הוסיפה לקטלוג ה-Known Exploited Vulnerabilities חולשה בדרגת חומרה מקסימלית (CVE-2026-48907, CVSS 10.0) ברכיב Joomla Content Editor, שמאפשרת הרצת קוד שרירותי.
💼 למי שעובד במקצוע
מנהלי אתרים: עדכנו תוספי Joomla/CMS מיד — תוספים הם הווקטור הנפוץ ביותר לפריצת אתרים. עקבו אחרי קטלוג ה-KEV של CISA: חולשות שם מנוצלות בפועל ומחייבות תיקון בעדיפות עליונה.
CISA (סוכנות אבטחת הסייבר האמריקאית) הוסיפה לקטלוג ה-KEV (חולשות מנוצלות בפועל) חולשה בדרגת חומרה מקסימלית — CVE-2026-48907, CVSS 10.0 — ברכיב Joomla Content Editor (JCE). החולשה נובעת מבקרת גישה לקויה ועלולה לאפשר הרצת קוד שרירותי.
למה CVSS 10 + KEV זה דחוף
- CVSS 10.0 = החמור ביותר שיש (קל לניצול, השפעה מלאה).
- KEV = לא תיאורטי — זה מנוצל כרגע בשטח. CISA מחייבת סוכנויות פדרליות לתקן תוך מועד קצר, וזו אינדיקציה לכל ארגון לתעדף.
🔍 תובנות / מה למדנו
- תוספים (plugins) הם החוליה החלשה ב-CMS. רוב פריצות ה-WordPress/Joomla הן דרך תוסף לא-מעודכן, לא דרך הליבה.
- עקבו אחרי ה-KEV. זו הרשימה הכי שימושית לתעדוף — "מה מנצלים עכשיו".
- בקרת גישה לקויה = הרצת קוד. באג שנראה "קטן" (הרשאות) הופך לשליטה מלאה.
- אתרים זנוחים מסוכנים. אתר Joomla ישן שאף אחד לא מעדכן = פצצה מתקתקת.
> ℹ️ אמתו פרטים מול ההודעה הרשמית של CISA והיצרן.
📚 מקורות והפניות
💬 תגובות (0)
התחברו כדי להגיב.
אין עדיין תגובות. היו הראשונים! 🙂
📰 עוד חדשות
Metabase SQLi zero-day exploited in customer data-theft attacks
A critical Metabase SQL injection vulnerability was exploited in zero-day attacks to breach customer instances in data theft attacks, known to impact Framework and Tally. [...]
Unlimited Technology Systems breach impacts 3.8 million people
Healthcare software company Unlimited Technology Systems reported that more than 3.8 million people were impacted by a data breach incident that occurred in October 2025. [...]
Nearly 800 Malicious npm Packages Deliver Cross-Platform RAT and Infostealer
A cluster of nearly 800 malicious packages has been published to the npm registry as part of a new campaign designed to deliver cross-platform malware targeting Windows, Mac, and Linux systems. "These packages appear to use AI slop squatted, or randomly generated typo-squatting p