El 10 de julio de 2026, la agencia CISA añadió al catálogo KEV dos vulnerabilidades de criticidad máxima — CVE-2026-48939 y CVE-2026-56291 — que afectan a las extensiones iCagenda y Balbooa Forms para la CMS Joomla. Ambas vulnerabilidades tienen una puntuación CVSS 10.0, permiten remote code execution mediante la carga de archivos arbitrarios y ya se están explotando en ataques automatizados. A las agencias federales de Estados Unidos (FCEB) se les ha fijado como fecha límite para la mitigación el 13 de julio de 2026, es decir, solo tres días desde la publicación. Los parches están disponibles: los propietarios de sitios en Joomla con estas extensiones deben actualizar de inmediato y revisar los servidores en busca de indicadores de compromiso.
Análisis técnico de las vulnerabilidades
CVE-2026-48939 — iCagenda: ejecución de código a través del formulario de envío de eventos
La vulnerabilidad CVE-2026-48939 reside en la función de adjuntar archivos del formulario “Submit an Event” de la extensión iCagenda. El componente no realiza una validación adecuada del tipo de archivo cargado, lo que permite a un atacante subir un script PHP y ejecutar código arbitrario en el servidor.
Versiones afectadas:
- Rama 4.x: todas las versiones hasta la 4.0.7 inclusive
- Rama obsoleta 3.x: versiones desde la 3.2.1 hasta la 3.9.14 inclusive
Según los investigadores de mySites.guru, la explotación de esta vulnerabilidad como zero-day se ha observado desde el 15 de junio de 2026, casi un mes antes de su inclusión en el KEV. Los ataques eran de carácter automatizado: en los registros de acceso de uno de los clientes se detectó un escáner con el User-Agent icagenda-batch/1.0, que obtenía un token, subía un archivo malicioso a través del endpoint del formulario y luego accedía al web shell instalado mediante la ruta predecible en la que se guardan los adjuntos. Cabe señalar que estos detalles de la cadena de ataque proceden de una única fuente externa y no han sido confirmados de forma independiente, aunque la propia inclusión en el catálogo CISA KEV confirma el hecho de la explotación activa.
El desarrollador JoomliC publicó las correcciones en las versiones 4.0.8 y 3.9.15.
CVE-2026-56291 — Balbooa Forms: unauthenticated RCE
La vulnerabilidad CVE-2026-56291 en la extensión Balbooa Forms constituye, probablemente, un caso aún más peligroso. Según informan los investigadores, hasta la versión 2.4.0 inclusive el mecanismo de carga de adjuntos desde el frontend aceptaba archivos de cualquier visitante anónimo, sin autenticación, sin token CSRF y sin validación del tipo de archivo. Un atacante podía subir un archivo PHP a un directorio público y ejecutarlo, lo que proporciona un remote code execution no autenticado completo.
La vulnerabilidad se descubrió el 8 de julio de 2026 durante un ataque real contra un cliente de mySites.guru. La corrección está disponible en la versión Balbooa Forms 2.4.1.
Indicadores de compromiso
Para ambas extensiones se han publicado indicios concretos a los que se debe prestar atención:
- iCagenda: revisar el directorio
images/icagenda/frontend/attachments/en busca de archivos PHP sospechosos - Balbooa Forms: revisar el directorio
images/baforms/uploads/en busca de archivos que no sean imágenes ni documentos, especialmente con extensión .php - Comprobar la lista de usuarios de Joomla en busca de cuentas sospechosas con privilegios de administrador
- Realizar una auditoría de los archivos PHP modificados recientemente o desconocidos en todo el sitio
- En los registros de acceso, prestar atención al User-Agent
icagenda-batch/1.0
Campaña global contra CMS: advertencia de Australia
La publicación de CISA coincidió en el tiempo con la advertencia del Centro Australiano de Ciberseguridad (ACSC) sobre una campaña global a gran escala dirigida contra los sistemas de gestión de contenidos y sus plugins. Según el ACSC, los actores maliciosos están escaneando activamente sitios web para desplegar web shells, aprovechando vulnerabilidades relacionadas con la carga de archivos sin autenticación, remote code execution, server-side request forgery (SSRF) y deserialización.
En la lista de vulnerabilidades explotadas se incluyen fallos en una amplia gama de productos:
- Sneeit Framework (CVE-2025-6389)
- WPBookit para WordPress (CVE-2025-7852)
- Gravity Forms para WordPress (CVE-2025-12352)
- Craft CMS (CVE-2025-32432)
- Ninja Forms, MaxSite CMS, Breeze Cache, WavePlayer, MetInfo CMS, Joomla JCE
El ACSC subrayó que los avances en el ámbito de la IA aceleran la velocidad y la escala de los ciberataques, reduciendo el tiempo entre la divulgación de una vulnerabilidad y el inicio de su explotación. Esta observación se ve confirmada por la cronología de las vulnerabilidades de Joomla analizadas: CVE-2026-48939 se explotó como zero-day al menos 25 días antes de la aparición del parche.
Evaluación del impacto
Ambas vulnerabilidades suponen una amenaza crítica por varios motivos. En primer lugar, no requieren autenticación: al atacante le basta con conocer la URL de un sitio con la extensión vulnerable. En segundo lugar, la explotación está totalmente automatizada, lo que implica un escaneo y una compromisión masivos. En tercer lugar, Joomla sigue siendo una de las CMS más extendidas, e iCagenda y Balbooa Forms son extensiones populares para sitios de eventos y formularios de contacto, incluidos recursos de organismos públicos, instituciones educativas y pequeñas empresas.
La explotación satisfactoria conduce a la instalación de un web shell, lo que otorga al atacante control total sobre el servidor web: desde el robo de datos y la modificación de contenidos hasta el uso del servidor como plataforma para posteriores ataques contra la infraestructura interna.
Recomendaciones de respuesta
- Actualizar de inmediato iCagenda a la versión 4.0.8 (o 3.9.15 para la rama obsoleta) y Balbooa Forms a la versión 2.4.1
- Comprobar el sistema de archivos en las rutas indicadas en busca de archivos PHP que no deberían estar en los directorios de adjuntos
- Realizar una auditoría de las cuentas de Joomla: eliminar las cuentas desconocidas con privilegios de administrador
- Analizar los registros del servidor web en busca de solicitudes sospechosas a los endpoints de carga de archivos y accesos a archivos PHP atípicos en los directorios de adjuntos
- Si se detectan indicios de compromiso, considerar el servidor comprometido: realizar una investigación completa, cambiar todas las credenciales y verificar la integridad de los archivos de la CMS
- Si no es posible actualizar de inmediato, desactivar las funciones de carga de archivos en ambas extensiones o deshabilitarlas temporalmente
El plazo de tres días establecido por CISA para las agencias federales refleja la gravedad excepcional de la situación: ambas vulnerabilidades tienen la puntuación CVSS máxima, se explotan de forma trivial y ya se están utilizando en ataques automatizados masivos. Los propietarios de sitios en Joomla con las extensiones iCagenda o Balbooa Forms deberían considerar la actualización como una tarea de máxima prioridad: cada hora de demora incrementa la probabilidad de compromiso.
