對於許多開發者來說，內容管理系統（CMS）如 Joomla 或 WordPress 提供了快速搭建網站的便利，但其強大的擴充插件生態系也成了攻擊者的首選目標。近期美國 CISA 與澳洲 ACSC 警告，Joomla 的兩個知名插件 iCagenda 與 Balbooa Forms 出現了嚴重的零日漏洞（Zero-Day，指在官方釋出補丁前就被利用的漏洞），且 CVSS 評分高達 10.0 分滿分。
這類漏洞的核心問題在於缺乏對上傳檔案的嚴格驗證，導致攻擊者能將惡意程式植入伺服器。
漏洞成因與技術脈絡
這兩個漏洞（CVE-2026-48939 與 CVE-2026-56291）的本質都是任意檔案上傳（Arbitrary File Upload）。在正常的業務邏輯中，插件會允許使用者上傳圖片或附件，但如果後端程式碼沒有對上傳檔案的副檔名、內容類型（MIME type）或檔案內容進行檢查，攻擊者就可以上傳一個 PHP 腳本。
一旦 PHP 檔案被成功上傳到伺服器的公開可訪問的目錄中，攻擊者只要透過瀏覽器直接訪問該檔案的路徑，伺服器就會執行該腳本。這在資安領域被稱為遠端程式碼執行（Remote Code Execution, RCE），是最高等級的威脅，因為它允許攻擊者在伺服器上執行任意指令，進而奪取伺服器控制權、竊取資料庫或將網站轉化為跳板攻擊其他目標。
具體漏洞分析
iCagenda 的漏洞出現在提交活動（Submit an Event）的功能中。攻擊者使用自動化掃描器獲取 Token 後，直接向提交端點上傳惡意檔案，並在特定的附件路徑中執行植入的 Web Shell。Web Shell 是一種特殊的後門程式，讓攻擊者能透過網頁介面直接操作伺服器終端機。
Balbooa Forms 的漏洞則更為嚴重。其前端附件上傳功能完全缺乏保護：不需要登入、沒有 CSRF Token（一種防止跨站請求偽造的機制，用來確保請求是由合法使用者發出而非第三方偽造），且完全不檢查檔案類型。這意味著任何匿名訪客都能直接上傳 PHP 檔案並執行。
實務上的偵測與防禦
對於維運工程師而言，面對這類漏洞，除了第一時間更新插件版本外，還需要進行損害評估。
首先是檢查可疑路徑。針對 iCagenda，應檢查 images/icagenda/frontend/attachments/ 目錄；針對 Balbooa Forms，則檢查 images/baforms/uploads 目錄。任何非圖片或非文件的 PHP 檔案都應視為入侵跡象。
其次是審核權限變動。攻擊者在取得 RCE 後，通常會嘗試建立具有管理員權限的 Joomla 帳號以維持長期存取權，因此需檢查使用者清單是否有不明的管理者帳號。
最後是全域審核。檢查伺服器上近期被修改過或不熟悉的 PHP 檔案，確保沒有被植入隱蔽的後門。
CMS 安全的整體趨勢
澳洲 ACSC 的警告指出，目前存在一個針對多種 CMS（包括 WordPress、Craft CMS、MaxSite 等）的大規模全球攻擊行動。攻擊者正利用 AI 技術加速漏洞掃描與利用的速度，縮短了從漏洞公開到被攻擊的時間窗。
這提醒開發者，在設計上傳功能時，絕不能信任前端傳來的任何資料。正確的實作方式應包含：限制允許的副檔名白名單、重新命名上傳檔案以避免路徑遍歷、將上傳目錄設定為禁止執行腳本（例如在 Apache 中使用 .htaccess 禁用 PHP 執行），以及將檔案儲存在非公開的儲存空間中。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。