CISA segnala due vulnerabilità Joomla sfruttate

Due estensioni Joomla sono sotto sfruttamento zero-day attivo, secondo quanto riportato dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, che ha aggiunto entrambe le falle di gravità massima al suo catalogo Known Exploited Vulnerabilities (KEV). Le falle riguardano le estensioni iCagenda e Balbooa Forms per Joomla, un sistema di gestione dei contenuti open source usato per creare siti web, e ciascuna ha un punteggio di gravità CVSS di 10.0, il massimo possibile. CVSS sta per Common Vulnerability Scoring System, uno standard usato per valutare quanto è grave un problema di sicurezza.

CVE-2026-48939 riguarda l'estensione iCagenda. Il problema è nel modulo 'Submit an Event' del componente, che permette ai visitatori di proporre eventi del calendario. Poiché la funzione di allegato file non limita adeguatamente ciò che può essere caricato, un attaccante può inviare un file contenente PHP, un linguaggio di programmazione comunemente usato per le pagine web, e poi eseguire quel codice sul server. mySites.guru, un servizio di dashboard basato su cloud per siti WordPress e Joomla, riporta che questa vulnerabilità è stata sfruttata come zero-day, cioè prima che esistesse una correzione, dal 15 giugno 2026, in attacchi automatizzati mirati a siti Joomla dove è installato iCagenda. Secondo mySites.guru, il suo team ha visto per la prima volta l'attività nel log di accesso di un cliente quando uno scanner automatizzato che si identificava come 'icagenda-batch/1.0' ha ottenuto un token, ha inviato un caricamento malevolo all'endpoint di invio, poi ha recuperato la shell impiantata esattamente dalla cartella dove il componente scrive gli allegati. Le versioni interessate includono iCagenda 4.x fino alla 4.0.7 inclusa, e le versioni legacy 3.x dalla 3.2.1 fino alla 3.9.14 inclusa. Lo sviluppatore, JoomliC, ha rilasciato iCagenda 4.0.8 e 3.9.15 per correggere il problema. Si consiglia ai proprietari dei siti di controllare la cartella 'images/icagenda/frontend/attachments/' per file PHP sospetti e rimuoverli.

CVE-2026-56291 riguarda Balbooa Forms, un'altra estensione Joomla usata per creare moduli. mySites.guru ha scoperto questa vulnerabilità l'8 luglio 2026, dopo un attacco dal vivo contro uno dei suoi clienti. Fino alla versione 2.4.0 inclusa, il caricamento degli allegati nel frontend dell'estensione accettava un file da qualsiasi visitatore anonimo senza login, senza token CSRF, un valore segreto che conferma che una richiesta è legittima, e senza controllo sul tipo di file. Un attaccante poteva caricare un file PHP in una cartella pubblica e poi eseguirlo, il che è esecuzione di codice in remoto non autenticata, cioè un modo per prendere il controllo del server senza password. Il problema è corretto nella versione 2.4.1 di Balbooa Forms. mySites.guru ha condiviso indicatori di compromissione per i proprietari dei siti: controllare la cartella di caricamento di Balbooa Forms, per impostazione predefinita 'images/baforms/uploads', per qualsiasi file che non sia un'immagine o un documento e soprattutto per qualsiasi cosa che termini in PHP; controllare l'elenco utenti Joomla per account amministratore sospetti; e verificare il sito per file PHP modificati di recente o sconosciuti.

Alla luce dello sfruttamento attivo, le agenzie del Federal Civilian Executive Branch (FCEB) hanno tempo fino al 13 luglio 2026 per applicare le correzioni nelle loro reti. La divulgazione arriva mentre l'Australian Cyber Security Centre (ACSC) ha emesso un avviso su una campagna di sfruttamento globale che prende di mira sistemi di gestione dei contenuti (CMS) e plugin. L'ACSC ha detto che attori malevoli stanno attivamente scansionando siti web per trovare modi di distribuire web shell, piccoli file malevoli che danno agli attaccanti accesso remoto e controllo di un server, sfruttando vulnerabilità che permettono principalmente caricamento file non autenticato, esecuzione di codice in remoto, server-side request forgery, che inganna un server facendogli fare richieste non volute, o deserializzazione, il processo non sicuro di trasformare dati memorizzati di nuovo in codice in esecuzione. L'avviso elenca diverse vulnerabilità identificate, tra cui Sneeit Framework (CVE-2025-6389), WPBookit (CVE-2025-7852), Gravity Forms (CVE-2025-12352), Craft CMS (CVE-2025-32432), Ninja Forms (CVE-2026-0740), MaxSite CMS (CVE-2026-3395), Breeze Cache (CVE-2026-3844), WavePlayer (CVE-2025-12057), MetInfo CMS (CVE-2026-29014) e Joomla JCE (CVE-2026-48907). L'ACSC ha detto che questa campagna di sfruttamento globale su larga scala mostra un rischio informatico in rapido cambiamento, e che i progressi nell'intelligenza artificiale stanno accelerando la velocità e la scala delle operazioni informatiche e riducendo il tempo tra la divulgazione di una vulnerabilità e il suo sfruttamento.

Per i proprietari di siti web e i team IT, questi avvisi sono un promemoria che i plugin Joomla e WordPress sono un punto di ingresso comune, specialmente le estensioni obsolete o inutilizzate. Poiché le due falle Joomla sono già sfruttate, aggiornare iCagenda alla 4.0.8 o 3.9.15 e Balbooa Forms alla 2.4.1 è urgente. Dopo l'aggiornamento, eliminare eventuali file PHP inattesi dalle cartelle di caricamento e rivedere gli account amministratore. L'avviso dell'ACSC mostra anche che gli attaccanti stanno scansionando ampiamente alla ricerca di web shell in molti plugin CMS, quindi mantenere ogni plugin aggiornato e rimuovere quelli non necessari riduce l'esposizione. Per i proprietari di siti WordPress, un servizio di hosting gestito come AEU Hosting, che fornisce hosting WordPress gestito e protetto end to end, può occuparsi degli aggiornamenti a livello di piattaforma e del rafforzamento della sicurezza, mentre gli aggiornamenti dei singoli plugin e le correzioni specifiche per Joomla richiedono ancora l'attenzione del proprietario del sito.