דלגו לתוכן
הצטרפו ל-Insider
BREAKING LIVE UPDATES
CYBER WATCH

Balbooa Forms ו-iCagenda: פרצות בתוספי Joomla מנוצלות, ו-CISA מוסיפה אותן ל-KEV

שני תוספים פופולריים של Joomla מאפשרים לאורח להעלות סקריפט PHP ולהריץ אותו על השרת. CISA הוסיפה אותם לקטלוג החולשות המנוצלות, ו-Balbooa Forms נוצלה לפני שיצא תיקון.

GKמערכת GEEKLIK 4 דק' קריאה
Balbooa Forms ו-iCagenda: פרצות בתוספי Joomla מנוצלות, ו-CISA מוסיפה אותן ל-KEV

TL;DR בקצרה

  • CISA הוסיפה ב-10 ביולי 2026 את Balbooa Forms (CVE-2026-56291) ואת iCagenda (CVE-2026-48939) לקטלוג החולשות המנוצלות.
  • בשתיהן אורח באתר יכול להעלות קובץ PHP ולהריץ אותו. לפי mySites.guru, שתיהן בדרגה 10.0 ב-CVSS 4.0.
  • Balbooa Forms נוצלה כחולשת יום אפס, והתיקון 2.4.1 יצא ב-9 ביולי. התיקונים ל-iCagenda הם 4.0.8 ו-3.9.15.
  • מה לבדוק: קבצי PHP בתיקיות ההעלאה של התוספים וחשבונות Super User חדשים.

CISA הוסיפה ב-10 ביולי 2026 שתי חולשות בתוספים של Joomla לקטלוג החולשות המנוצלות: Balbooa Forms ו-iCagenda. בשתיהן אורח באתר יכול להעלות סקריפט PHP ולהריץ אותו על השרת, בלי להתחבר. לפי mySites.guru, תוקפים ניצלו את Balbooa Forms עוד לפני שהיה תיקון.

שתי החולשות מדורגות 10.0 ב-CVSS 4.0, לפי mySites.guru. אם אתם מפעילים אתר Joomla עם אחד התוספים, בדקו אותו מיד.

Balbooa Forms: יום אפס שהתחיל לפני 8 ביולי

Balbooa Forms, או com_baforms, הוא תוסף לבניית טפסי יצירת קשר בגרירה. החולשה, CVE-2026-56291, קשורה להעלאת צרופות בחלק הציבורי של האתר. התוסף קיבל קבצים מגולשים אנונימיים בלי אימות, בלי בדיקת אסימון CSRF ובלי רשימת סיומות מותרות.

התוסף לקח את הסיומת משם הקובץ שהגולש שלח. לכן אפשר היה לשמור סקריפט .php בתיקייה נגישה מהרשת ולהריץ אותו בבקשה פשוטה. הגרסאות עד 2.4.0 כולל פגיעות.

ב-8 ביולי קיבל לקוח של mySites.guru התראת abuse מחברת האחסון Hetzner. הצוות ניתח את הלוג, שחזר את הפגיעות ודיווח לספק באותו יום. Balbooa שחררה ב-9 ביולי את גרסה 2.4.1.

לפי mySites.guru, אחרי שהתוקף מעלה סקריפט הוא קורא את configuration.php, יוצר משתמש Super User חבוי ומשתיל דלתות אחוריות. הוא גם יכול לעבור לאתרים אחרים באותו חשבון אחסון.

iCagenda: טופס שליחת אירוע שהפך לדלת כניסה

iCagenda הוא תוסף ליומן אירועים והרשמות. הטופס Submit an Event שלו קיבל צרופות ושמר אותן בלי רשימת סיומות מותרות. בנוסף, ההגבלה "רשומים בלבד" נבדקה רק בתצוגה של הטופס, ולא בבקר שמעבד את השליחה. כך גם גולש אנונימי יכול היה לשלוח.

יש הבדל חשוב בין הגרסאות. לפי JoomliC, שמצוטט ב-mySites.guru, הרצת ה-PHP מתרחשת רק ב-Joomla 6. ב-Joomla 2.5 עד 5 הליבה חוסמת העלאות של סקריפטים, אבל עקיפת ההרשאה עדיין עובדת ומאפשרת ליצור אירועים בלי אישור.

הגרסאות הפגיעות הן 3.2.1 עד 3.9.14 ו-4.0.0 עד 4.0.7. התיקונים הם 4.0.8 מ-15 ביוני ו-3.9.15 מ-16 ביוני. לפי JoomliC, התקיפות האוטומטיות התחילו ב-15 ביוני, עוד לפני התיקון. Joomla פרסמה את ה-CVE, CVE-2026-48939, ב-20 ביוני.

CISA הוסיפה לקטלוג כבר ב-7 ביולי שני תוספי בניית דפים של Joomla: SP Page Builder של JoomShaper (CVE-2026-48908) ו-Page Builder של Joomlack (CVE-2026-56290). לפי הקטלוג, בשניהם אפשר להעלות קבצים בלי הזדהות ולהגיע להרצת PHP.

Balbooa Forms ו-Joomla: מה בודקים באתר

חפשו סקריפטים בתיקיות ההעלאה של התוספים. ב-Balbooa זו התיקייה images/baforms/uploads/. כל סקריפט PHP שם הוא חשוד. mySites.guru מציעה להריץ את הפקודה find images/baforms/uploads -name '*.php' -type f.

ב-iCagenda התיקייה החשודה היא images/icagenda/frontend/attachments/. לפי mySites.guru, כל סקריפט PHP בתיקייה הזאת הוא web shell עד שיוכח אחרת. לכן כדאי לבדוק אותה גם אחרי העדכון.

בדקו גם חשבונות Super User שלא יצרתם, ובקשות POST לפעולה form.uploadAttachmentFile ביומן השרת. ב-iCagenda, ה-User-Agent בשם icagenda-batch/1.0 הופיע ביומן של לקוח. תור של אירועים לא מאושרים עשוי לרמוז על ניצול עקיפת ההרשאה.

mySites.guru מזהירה שלא לסמוך על ביטול הפרסום של התוסף. נקודת הקצה והקבצים שהועלו עלולים להישאר נגישים. אם הסרתם את התוסף זמנית, התקינו אותו מחדש מהורדה נקייה ולא מגיבוי ישן.

עוד ב-GEEKLIK: Click2Shell: קישור אחד למנהל אתר WordPress הספיק כדי להתקין תבנית ולהריץ קוד

מה זה אומר עבורכם

  • אתרו את התוספים: בדקו בלוח הבקרה של Joomla אם מותקנים Balbooa Forms, iCagenda, SP Page Builder או Page Builder של Joomlack.
  • עדכנו: העלו את Balbooa Forms לפחות ל-2.4.1 ואת iCagenda לפחות ל-4.0.8, או ל-3.9.15 בענף הישן. בדקו אם יצאה גרסה חדשה מהן, כי יצאו עוד תיקוני אבטחה.
  • חפשו PHP בתיקיות ההעלאה: כל סקריפט PHP בתיקיות האלה הוא סימן אזהרה. בדקו גם חשבונות חדשים ברמת Super User.
  • אם מצאתם משהו: שמרו ראיות, מחקו את הקבצים והחליפו סיסמאות וסודות של Joomla. בדקו את כל האתר, ולא רק את התוסף.
  • צמצמו חשיפה: אם אי אפשר לעדכן מיד, בטלו את הפרסום של טפסים ציבוריים שמקבלים צרופות ב-Balbooa. ב-iCagenda אין לסמוך על ביטול פרסום.

מה קרה מאז

mySites.guru המשיכה לעדכן את הדיווח על Balbooa Forms. ב-28 ביולי 2026 יצאה גרסה 2.4.3 עם תיקון לחולשה נוספת בדרגה 10.0. ב-18 באוגוסט יצאה 2.4.3.2 עם תיקון לשתי חולשות נוספות. בעדכון מ-29 בספטמבר היא ממליצה לעבור לגרסה 2.4.3.4.

גם ב-iCagenda יצאו גרסאות 4.0.12, 4.0.13 ו-3.9.16, עם תיקונים לחולשות אחרות. בהן הזרקת SQL בלי הזדהות, בדרגה 9.2.

מקורות והרחבה

  1. Balbooa Forms unauthenticated file upload RCE (CVE-2026-56291)mySites.guru
  2. CISA Adds Two Known Exploited Vulnerabilities to CatalogCISA
  3. iCagenda zero-day: file upload RCE (CVE-2026-48939)mySites.guru
  4. CISA warns of actively exploited RCE flaws in Joomla extensionsBleepingComputer

הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.

מצאתם טעות? דווחו לנו
#Balbooa Forms #CISA KEV #iCagenda #Joomla #חולשות אבטחה

MORE FROM CYBER WATCH

לכל הכתבות בסייבר ואבטחה