更新時間：2026/06/18 09:21:34
發佈時間：2026/06/18 09:21:33
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1]
Joomla JCE 編輯器存在一項未經授權的遠端程式碼執行（Remote Code Execution）漏洞（CVE-2026-48907），其源自於JCE（Joomla 內容編輯器）editor profile 匯入功能之存取控制不當，攻擊者無需經過身分驗證即可建立或匯入editor profile，並藉此調整檔案上傳設定，使伺服器允許上傳 PHP等可執行檔案，並可進一步上傳及執行Webshell，進而達成遠端程式碼執行(RCE)。
二、已揭露攻擊活動說明
1. GitHub 已有PoC程式碼。[3]
2. CISA已納入漏洞利用清單。[4]
▶ 漏洞資訊
⌵
名稱：
CVE-2026-48907 [5]
描述：
使用版本：CVSS 4.0
分析分數：10
參考來源：NVD
▶ 影響平台
⌵
影響平台-系統：
Joomla JCE 2.7.x - 2.9.x 所有版本均受到此漏洞影響，官方已釋出2.9.99.5版本已修補此漏洞，並於後續釋出2.9.99.6進一步加入安全強化措施，故建議升級至2.9.99.6或以上版本。
▶ 建議措施
⌵
1.Joomla官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。[1]
2.Joomla JCE 2.9.99.6 版本需要PHP 7.4和 Joomla 3.10 或更高版本，如無法更新至此版本，官方額外提供JCE 2.7.x to 2.9.x的修補程式。[2]
3.Joomla JCE 2.6.x尚未觀察到受到此漏洞影響，其預設禁止存取未經身份驗證的設定檔路徑，但由於此版本已停止支援，建議安排更新計畫。[2]
4.建議檢查網站伺服器存取紀錄，確認是否存在未經身分驗證即存取 profile 匯入功能的請求（例如：index.php?option=com_jce&task=profiles.import）；另應留意images、media或tmp等通常不應存放PHP檔案的目錄中，是否存在非自行放置的PHP檔案，或檔名中包含php字樣的檔案（例如：foo.php.xml）；若editor profile未設定上傳路徑，預設上傳位置會是images目錄，因此建議優先檢查該目錄。
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://www.joomlacontenteditor.net/news/jce-security-update-and-a-free-patch-for-older-sites | Joomla |
| 2 | https://www.joomlacontenteditor.net/downloads/editor/security-patch | Joomla JCE 修補程式 |
| 3 | https://github.com/0xBlackash/CVE-2026-48907 | GitHub |
| 4 | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | CISA |
| 5 | https://nvd.nist.gov/vuln/detail/CVE-2026-48907 | NVD |
情資編號：
FISAC-200-202606-0018
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞