Il panorama della sicurezza dei sistemi di gestione dei contenuti sta attraversando settimane particolarmente turbolente, con una serie di minacce che stanno mettendo a dura prova gli amministratori di sistema di tutto il mondo. Solo di recente, l’ecosistema Joomla è stato scosso dalla gravissima falla identificata come CVE-2026-48907 nel popolarissimo plugin JCE Editor, una vulnerabilità che permetteva l’esecuzione di codice remoto e che è stata prontamente inserita nel catalogo delle minacce attive di CISA a causa di attacchi automatizzati su scala globale. Nemmeno il tempo di digerire questo pesante aggiornamento che gli esperti di sicurezza hanno lanciato l’allarme su una nuova e micidiale minaccia, battezzata CVE-2026-48908, che colpisce un’altra estensione fondamentale per la piattaforma: SP Page Builder. Questo nuovo scenario evidenzia come i componenti aggiuntivi di terze parti rappresentino ormai il vettore d’attacco preferito dai criminali informatici per scardinare le difese dei server aziendali.
La minaccia in questione è stata catalogata con il massimo livello di gravità, ovvero 10 su 10, a causa della sua natura intrinseca e della facilità con cui può essere sfruttata. Il cuore del problema risiede nel controller dedicato al caricamento delle icone personalizzate, precisamente la funzione uploadCustomIcon, che risulta completamente priva di controlli di autenticazione o autorizzazione e non applica alcuna validazione sul lato server per verificare l’estensione dei file inviati. Questa lacuna logica si traduce nella possibilità per qualsiasi utente remoto malintenzionato di inviare una richiesta non autenticata verso il sito, caricando uno script dannoso direttamente nelle cartelle accessibili dal web. Non è necessaria alcuna interazione da parte degli utenti legittimi o degli amministratori, né alcuna configurazione particolare del CMS: ogni installazione, a partire dalla 1.0.0 alla 6.6.1 è intrinsecamente esposta e vulnerabile, ed oltretutto sembra che sia già in atto un massiccio sfruttamento di questa falla di sicurezza.
L’impatto di un attacco andato a buon fine è devastante e porta al compromesso totale del server ospitante. Gli attaccanti utilizzano questa falla per caricare ed eseguire codice PHP malevolo, ottenendo immediatamente un punto d’appoggio persistente all’interno del sistema operativo. Le analisi svolte sul campo in seguito alle prime infezioni hanno rivelato che i criminali tendono a sfruttare l’accesso per creare account di Super Amministratore nascosti all’interno di Joomla, installare backdoor persistenti nella directory dei media e, cosa ancora più grave, esporre i file di configurazione contenenti le credenziali del database. Questo significa che l’attaccante non solo prende il controllo del sito vetrina, ma può potenzialmente esfiltrare dati sensibili, alterare i record aziendali o utilizzare la macchina come testa di ponte per lanciare attacchi verso altre infrastrutture di rete.
Per fronteggiare questa emergenza l’unica vera soluzione efficace è il fattore tempo, che si traduce nell’applicazione immediata delle contromisure fornite dagli sviluppatori. Risulta di vitale importanza aggiornare immediatamente SP Page Builder alla versione 6.6.2 o successive, bloccando alla radice i tentativi di exploit. Nei casi in cui l’aggiornamento immediato non fosse tecnicamente attuabile a causa di vincoli di produzione, gli esperti raccomandano di implementare regole restrittive su eventuali Firewall per intercettare e bloccare le richieste sospette verso gli endpoint del plugin o, in extremis, di disabilitare temporaneamente il componente. Monitorare i registri di accesso web alla ricerca di chiamate anomale verso i percorsi degli asset del costruttore di pagine è un ottimo modo per verificare se il proprio portale sia già stato preso di mira o compromesso prima dell’applicazione della patch.
Questa ennesima vulnerabilità critica ci costringe a riflettere profondamente sull’evoluzione delle minacce informatiche e sulla reale postura di sicurezza delle nostre applicazioni web. Troppo spesso la sicurezza di un’infrastruttura viene valutata solo in base alla robustezza del core software principale, dimenticando che la catena difensiva è forte solo quanto il suo anello più debole, che in questo caso è rappresentato dai componenti aggiuntivi. Affidarsi ciecamente a estensioni terze senza un piano continuo di monitoraggio della superficie di attacco e senza processi automatizzati di gestione delle patch espone le organizzazioni a rischi sistemici enormi. La cybersecurity non può più essere un’attività reattiva che si attiva solo dopo la pubblicazione di un bollettino d’allarme, ma deve trasformarsi in una disciplina predittiva e costante, dove la visibilità totale di ciò che è esposto su Internet diventa l’unico vero scudo contro l’inevitabile automazione del crimine informatico.
Fonte: 1
