Duas falhas de segurança com a pontuação máxima de gravidade estão a ser ativamente exploradas por cibercriminosos para assumir o controlo de sites baseados no ecossistema Joomla. O alerta foi emitido pela CISA, a agência de cibersegurança dos Estados Unidos, que incluiu os problemas no seu catálogo de vulnerabilidades conhecidas devido ao elevado risco de execução remota de código (RCE).
Os alvos desta exploração são duas extensões populares da plataforma: o iCagenda e o Balbooa Forms. Ambas receberam a classificação máxima de 10,0 no sistema de pontuação CVSS, refletindo o pior cenário possível para a segurança de um servidor web, uma vez que permitem a utilizadores anónimos plantar ficheiros maliciosos sem qualquer tipo de autenticação.
Extensões afetadas e medidas de mitigação
A primeira falha, registada como CVE-2026-48939, afeta o iCagenda, uma extensão de calendário. Segundo dados do serviço de gestão mySites.guru, o problema tem sido explorado como um zero-day — uma vulnerabilidade desconhecida para o fabricante até ao momento do ataque — desde 15 de junho de 2026. O ataque automatizado utiliza a funcionalidade de submissão de eventos para contornar restrições e injetar código PHP malicioso na pasta de anexos do Joomla. Estão vulneráveis as versões 4.x até à 4.0.7, bem como as antigas versões 3.x entre a 3.2.1 e a 3.9.14. As correções já se encontram disponíveis nas versões 4.0.8 e 3.9.15.
Em paralelo, a falha CVE-2026-56291 atinge o Balbooa Forms até à versão 2.4.0. Neste caso, a extensão aceitava ficheiros de visitantes anónimos sem validar o tipo de ficheiro ou exigir tokens de segurança. A vulnerabilidade foi corrigida na versão 2.4.1. Para os administradores de sistemas, a recomendação passa por inspecionar as pastas de uploads (como images/icagenda/frontend/attachments/ e images/baforms/uploads/) à procura de ficheiros PHP suspeitos, além de verificar se foram criadas contas de administrador não autorizadas.
Campanha global visa dezenas de plug-ins
Estes incidentes surgem num contexto mais amplo de ameaças. O Centro de Cibersegurança da Austrália (ACSC) emitiu um aviso sobre uma campanha de exploração em larga escala à escala global. Esta operação maliciosa foca-se na monitorização ativa de vulnerabilidades em sistemas de gestão de conteúdos (CMS) e respetivos plug-ins, afetando ecossistemas como o WordPress e outras plataformas populares.
O objetivo principal dos atacantes é implantar web shells, ferramentas que garantem o acesso e controlo remoto contínuo aos servidores invadidos. A agência australiana sublinhou ainda que o avanço das ferramentas de inteligência artificial tem acelerado a velocidade e a escala destas operações cibernéticas, encurtando drasticamente o período entre a descoberta de uma falha e a sua exploração activa no mercado. Face à gravidade da situação, as agências governamentais norte-americanas receberam ordens estritas para aplicar as respetivas correções até ao dia 13 de julho de 2026.
Nenhum comentário
Seja o primeiro!