ثغرات جوملا الخطيرة: هجمات يوم الصفر تضرب إضافتين

ثغرات جوملا الخطيرة عادت إلى الواجهة بعد رصد استغلال فعلي لهجوم يوم الصفر استهدف إضافتي iCagenda وBalbooa Forms، ما يرفع مستوى الخطر على آلاف المواقع.

ما هي ثغرات جوملا الجديدة التي يتم استغلالها الآن؟

أضيفت ثغرتان شديدتا الخطورة إلى قائمة الثغرات المعروفة التي يجري استغلالها فعلياً، وكلتاهما حصلت على درجة 10.0 من 10 في مقياس CVSS. هذا يعني أن أثرهما قد يكون كارثياً إذا لم تُطبَّق التحديثات فوراً.

الثغرة الأولى تحمل المعرّف CVE-2026-48939 وتؤثر في إضافة iCagenda الخاصة بإدارة الفعاليات داخل Joomla. أما الثانية فهي CVE-2026-56291 وتضرب إضافة Balbooa Forms المستخدمة في النماذج ورفع الملفات.

• CVE-2026-48939: استغلال عبر نموذج "إرسال فعالية" في iCagenda
• CVE-2026-56291: رفع ملفات خبيثة دون مصادقة في Balbooa Forms
• درجة الخطورة: 10.0/10 لكلتا الثغرتين

كيف تم استغلال إضافة iCagenda في هجمات يوم الصفر؟

بحسب المعطيات المتاحة، بدأ استغلال ثغرة iCagenda منذ 15 يونيو 2026 ضمن هجمات آلية تستهدف مواقع Joomla التي تستخدم الإضافة. المهاجمون استغلوا وظيفة اقتراح الفعاليات لرفع ملفات ضارة ثم تشغيلها على الخادم.

الخطورة هنا لا تتوقف عند رفع ملف فقط، بل تمتد إلى إمكانية زرع web shell يمنح المهاجم تحكماً بعيداً بالموقع. وهذا السيناريو يعد من أخطر أشكال الاختراق لأنه يسمح بتنفيذ أوامر، سرقة بيانات، أو توسيع الهجوم داخل البنية المستضيفة.

ما الإصدارات المتأثرة في iCagenda؟

• الإصدارات المتأثرة تشمل النسخ الأقدم غير المحدّثة من iCagenda
• الإصلاحات صدرت في iCagenda 4.0.8 وiCagenda 3.9.15
• ينصح بفحص مجلد images/icagenda/frontend/attachments/ فوراً

لماذا تعد ثغرة Balbooa Forms أخطر على مواقع Joomla؟

ثغرة Balbooa Forms لا تحتاج إلى تسجيل دخول أو رمز CSRF أو حتى تحقق من نوع الملف. عملياً، يمكن لأي زائر مجهول رفع ملف PHP خبيث إلى مجلد عام ثم تشغيله، وهو ما يعني تنفيذ أوامر عن بُعد دون مصادقة.

هذا النوع من العيوب الأمنية يجذب المهاجمين بسرعة لأنه سهل الاستغلال وفعّال جداً في السيطرة على المواقع. كما أشار تيكبامين، فإن أي موقع يستخدم نماذج رفع ملفات دون ضوابط صارمة يصبح هدفاً مباشراً لبرمجيات المسح الآلي.

• الإصدارات المتأثرة: حتى Balbooa Forms 2.4.0
• الإصدار الآمن: Balbooa Forms 2.4.1
• نوع الهجوم: رفع ملفات خبيثة ثم تنفيذها على الخادم

كيف تحمي موقعك من ثغرات جوملا الحالية؟

الخطوة الأولى هي التحديث الفوري لكل من iCagenda وBalbooa Forms إلى الإصدارات المصححة. بعد ذلك يجب مراجعة السجلات، البحث عن ملفات PHP غريبة داخل مجلدات المرفقات، وتعطيل أي ميزة رفع ملفات غير ضرورية مؤقتاً.

كذلك من المهم تقييد أذونات المجلدات، وفحص الموقع بأدوات كشف البرمجيات الخبيثة، ووضع جدار حماية لتطبيقات الويب. ووفقاً لمتابعة تيكبامين، فإن سرعة الاستجابة هي العامل الحاسم لأن ثغرات جوملا هذه تُستغل بالفعل في هجمات نشطة وليست مجرد تحذير نظري.

مؤشرات تستدعي الانتباه فوراً

• ظهور ملفات PHP غير معروفة داخل مجلدات attachments أو uploads
• طلبات غير معتادة إلى نقاط رفع الملفات من زوار مجهولين
• تغييرات مفاجئة في أداء الموقع أو إنشاء حسابات ومسارات غير مألوفة

الخلاصة أن ثغرات جوملا الحالية تمثل تهديداً مباشراً لأي موقع متأخر في التحديث، خصوصاً مع تصاعد حملات الاستغلال عالمياً ضد أنظمة إدارة المحتوى والإضافات الشائعة.