La CISA advirtió sobre una falla crítica en el editor JCE de Joomla que permite la ejecución de código PHP por usuarios no autenticados, recomendando actualizar a la versión 2.9.99.5. Paralelamente, se reportaron ataques de cadena de suministro contra plugins de WordPress y la inyección de webshells para manipular servidores. Estos últimos ataques buscan monetizar sitios mediante redes de blogs privados y enlaces ocultos de SEO.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el martes un fallo de seguridad de severidad máxima que afecta al editor de contenido de Joomla, Widget Factory (JCE), a su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV), citando pruebas de explotación activa.

La vulnerabilidad, identificada como CVE-2026-48907 (puntuación CVSS: 10.0), es un caso de control de acceso inadecuado que podría facilitar la ejecución de código arbitrario.

"Widget Factory Joomla Content Editor contiene una vulnerabilidad de control de acceso inadecuado que podría permitir la carga y ejecución de código PHP mediante la creación de nuevos perfiles de editor para usuarios no autenticados", afirmó la CISA.

Según una descripción de la vulnerabilidad publicada en CVE.org, el problema reside en la extensión del editor JCE para Joomla, lo que permite a un actor malintencionado crear nuevos perfiles de editor para usuarios no autenticados, allanando el camino para la carga y ejecución de código PHP. El problema afecta a las versiones de JCE desde la 1.0.0 hasta la 2.9.99.4. Ha sido parcheado en la versión 2.9.99.5, lanzada el 3 de junio de 2026. En sus notas de lanzamiento, Widget Factory indicó que "controles de acceso insuficientes permitían a usuarios no autenticados cargar perfiles de editor".

Actualmente no hay información sobre cómo se está explotando la vulnerabilidad en el mundo real. Se ha ordenado a las agencias de la Rama Ejecutiva Civil Federal (FCEB) aplicar las correcciones antes del 19 de junio de 2026.

Múltiples campañas se dirigen a sitios de Wordpress

Esta revelación llega mientras Sansec detallaba una nueva campaña de ataque a la cadena de suministro dirigida a más de 1 millón de sitios que utilizan los plugins de WordPress OptinMonster, TrustPulse y PushEngage, donde los atacantes inyectan JavaScript malicioso que "espera a un administrador conectado, crea una cuenta de administrador trasera (backdoor) e instala un plugin de puerta trasera que se oculta a sí mismo".

En otra campaña, se ha descubierto que atacantes desconocidos han comprometido un sitio de WordPress para incrustar un plugin falso llamado "Beloved PBN Entegrasyonu", que enviaba sigilosamente la URL del sitio a una API externa en cada carga de página e inyectaba HTML o JavaScript arbitrario devuelto por el servidor en el pie de página de la web.

No está claro exactamente cómo los atacantes vulneraron el sitio web, pero se dice que el acceso les permitió montar dos web shells de PHP como código ejecutable bruto con los registros de la base de datos "wp_posts" y les otorgó la capacidad de interactuar con los scripts a través de HTTP. Esto, a su vez, facilitó el acceso sin restricciones de lectura/escritura a todo el sistema de archivos del servidor sin requerir ninguna autenticación.

Específicamente, las cargas útiles residentes en la base de datos permiten al actor de la amenaza realizar acciones de archivos, como leer, escribir, editar o eliminar cualquier archivo en el servidor, explorar directorios en todo el servidor, cambiar permisos de archivos, renombrar archivos, crear nuevos archivos y carpetas, y cargar archivos desde su propia computadora.

"Cada visitante del sitio comprometido recibió enlaces salientes de PBN inyectados en el código fuente de cada página al cargarla, dañando directamente las clasificaciones de búsqueda del sitio y arriesgándose a una penalización manual en Google Search Console", afirmó la investigadora de Sucuri Puja Srivastava Puja Srivastava.

"La campaña es operada por un actor de amenazas que habla turco y se basa en un esquema clásico de monetización de SEO: inyección de enlaces ocultos para una Red de Blogs Privados (PBN), probablemente vinculada al nicho de afiliados de juegos de azar y adultos".

Fuente:
THN