Quando si parla di sicurezza dei Content Management System, l’attenzione mediatica si concentra quasi interamente su WordPress, data la sua enorme quota di mercato e la quantità industriale di plugin da monitorare. Tuttavia, focalizzarsi su un unico bersaglio fa spesso dimenticare che anche piattaforme storiche e strutturalmente robuste come Joomla! meritano la massima attenzione da parte di sistemisti e webmaster. I vettori di attacco rimangono gli stessi e, sebbene Joomla! integri nativamente ottimi strumenti di protezione, la superficie di attacco rappresentata dalle estensioni di terze parti espone i server a rischi identici. Ne è la prova una vulnerabilità critica scoperta in queste ore, che dimostra come nessun ecosistema possa considerarsi immune e quanto sia vitale mantenere alta la guardia su qualsiasi piattaforma si decida di fare affidamento.
Per coloro che sviluppano i propri siti con la piattaforma Joomla! è uno di quei momenti in cui è necessario interrompere un attimo quello che si sta facendo, fare un backup rapido e aprire immediatamente il pannello degli aggiornamenti. Nelle scorse settimane è stata infatti resa pubblica una vulnerabilità critica, contrassegnata formalmente come CVE-2026-48907, che sta causando non pochi grattacapi a coloro che sviluppano i siti con questo CMS dato che colpisce uno dei plugin più famosi, amati e storici di tutto l’ecosistema del CMS come JCE (Joomla Content Editor). La falla è di quelle pesanti perché permette l’esecuzione di codice remoto (RCE) a utenti completamente anonimi, e con un punteggio di gravità CVSS v4 che tocca il livello massimo di 10.0, l’allerta è diventata subito massima per l’intera community.
Per capire l’origine del problema, bisogna considerare che JCE è il diffusissimo editor WYSIWYG che sostituisce quello standard di Joomla! per dare agli utenti un’esperienza di formattazione avanzata. Per funzionare in contesti complessi, il plugin permette di creare diversi profili editor, assegnando permessi di caricamento file differenti a seconda dei ruoli. La falla risiede proprio qui, poiché a causa di un controllo di autorizzazione mancante nel codice, un utente malintenzionato e non autenticato può inviare una richiesta mirata al server e creare un nuovo profilo editor personalizzato con privilegi amministrativi. Una volta iniettato questo profilo fasullo, l’attaccante può utilizzarlo per aggirare i normali blocchi di sicurezza e caricare file PHP arbitrari sul server, ottenendo il controllo totale del sistema.
Sbirciando dietro le quinte del portale ufficiale degli sviluppatori di JCE, si nota subito che gli ultimi giorni sono stati a dir poco frenetici, costringendo il team a rilasciare diverse patch in rapida successione. Dopo aver blindato a fine maggio la versione 2.9.99.4 per una coppia di falle minori che richiedevano comunque un utente autenticato, il 3 giugno è arrivata la versione 2.9.99.5, pensata appositamente per neutralizzare la minaccia della CVE-2026-48907. Non contenti, l’8 giugno gli sviluppatori hanno rilasciato un ulteriore aggiornamento cumulativo, la versione 2.9.99.6, a seguito di un audit di sicurezza ancora più approfondito sul codice per sigillare definitivamente ogni potenziale vulnerabilità rimasta aperta.
Lo stesso sviluppatore principale di JCE ha commentato sul blog ufficiale con molta onestà intellettuale, ammettendo che l’affaticamento da aggiornamento è reale, specialmente per chi gestisce decine di piattaforme e deve rincorrere continue patch. Tuttavia, davanti a bug logici che regalano l’accesso a perfetti sconosciuti, non si può tentennare. La vulnerabilità colpisce tutte le versioni di JCE Pro e Core precedenti alla 2.9.99.5, ed è compatibile con le installazioni di Joomla! dalla versione 3 fino alle più recenti. La procedura di mitigazione è immediata: basta accedere al pannello di controllo di Joomla!, forzare la ricerca tramite l’Update Manager e installare l’ultima release disponibile. La reazione del team di JCE è stata esemplare per tempestività, e ora la palla passa a sistemisti e webmaster per non lasciare la porta aperta ai malintenzionati.
