Il 16 giugno 2026 CISA ha aggiunto al proprio catalogo Known Exploited Vulnerabilities (KEV) una falla con il punteggio di gravità massimo possibile: CVSS 10.0. Colpisce Joomla Content Editor (JCE) di Widget Factory, una delle estensioni più diffuse per la gestione dei contenuti su siti basati su Joomla, ed è già sotto sfruttamento attivo e automatizzato.
Il difetto tecnico
La vulnerabilità, identificata come CVE-2026-48907, è un problema di controllo degli accessi improprio: permette a un utente non autenticato di creare un nuovo profilo dell'editor JCE e, attraverso questo, di caricare ed eseguire file PHP arbitrari sul server. In pratica, un attaccante riesce a forzare la creazione di un profilo malevolo per poi installare una web shell, ottenendo così esecuzione di codice da remoto completa senza dover fornire alcuna credenziale. Sono interessate tutte le versioni di JCE dalla 1.0.0 alla 2.9.99.4; il problema è stato risolto nella versione 2.9.99.5, rilasciata il 3 giugno 2026.
Sfruttamento già in corso
Secondo l'avviso pubblicato dal team di Joomla, la falla è attivamente sfruttata, esiste un exploit funzionante pubblicamente disponibile e gli attacchi osservati sono automatizzati: una combinazione di fattori che rende la finestra di rischio particolarmente ampia, perché non richiede né competenze avanzate né interazione manuale da parte dell'attaccante per colpire un numero elevato di siti in poco tempo.
La risposta di CISA
Sulla base della Binding Operational Directive 22-01, CISA ha imposto alle agenzie federali civili statunitensi (FCEB) di applicare la patch entro venerdì 19 giugno 2026, una finestra di appena pochi giorni che riflette la gravità della falla. Anche se l'obbligo riguarda formalmente solo le agenzie federali americane, le indicazioni del catalogo KEV sono considerate uno standard di riferimento per qualsiasi organizzazione che voglia stabilire le proprie priorità di patching.
Cosa fare
Chi gestisce siti Joomla con l'estensione JCE installata dovrebbe aggiornare immediatamente alla versione 2.9.99.5 o successiva. È inoltre opportuno verificare la presenza di profili editor sospetti creati di recente e controllare i log del server per individuare eventuali file PHP non riconosciuti caricati nelle cartelle accessibili dall'editor, segnale tipico di una compromissione già avvenuta.
L'episodio si inserisce in una settimana densa di segnalazioni KEV — insieme a CVE-2026-48907 è stata aggiunta al catalogo anche una falla di privilege escalation nel plugin LiteSpeed per cPanel — a conferma di quanto i CMS e le loro estensioni continuino a rappresentare un bersaglio privilegiato per campagne di attacco automatizzate su larga scala.
