Kerngegevens
- Leverancier
- Joomlic
- Soort software
- –
- Getroffen versies
- iCagenda voor Joomla 3.2.1 tot 3.9.15, en 4.x ouder dan 4.0.8
- Oplossing
- Update beschikbaar
- Opgeloste versie
- iCagenda voor Joomla 3.9.15
- iCagenda voor Joomla 4.0.8
- CVE gepubliceerd
- 20 juni 2026
- Op de KEV-lijst sinds
- 10 juli 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de extensie iCagenda voor Joomla kan een aanvaller via de functie voor bijlagen willekeurige bestanden uploaden. Daardoor kan hij PHP-code op de server zetten en laten uitvoeren. Het lek wordt actief misbruikt sinds juli 2026 en staat sinds die tijd op de KEV-lijst van CISA.
Wie loopt risico?
Je loopt risico als je een Joomla-site draait met iCagenda in een versie vanaf 3.2.1 die ouder is dan 3.9.15, of een 4.x-versie ouder dan 4.0.8. De aanval verloopt via het netwerk en vereist geen inloggegevens en geen handeling van een gebruiker. Een site die vanaf internet bereikbaar is, is dus direct blootgesteld. Er is ook publiek exploitmateriaal beschikbaar.
Wat moet je doen?
Controleer of je iCagenda gebruikt
Kijk in het beheerdeel van Joomla of de extensie iCagenda is geïnstalleerd en welke versie het is. Controleer dit ook op andere Joomla-sites die je beheert.
Werk iCagenda bij
Installeer iCagenda 3.9.15 (3.x-reeks) of 4.0.8 (4.x-reeks), of nieuwer.
Schakel de extensie uit als je niet kunt bijwerken
Kun je niet meteen bijwerken, schakel iCagenda dan uit of scherm de site tijdelijk af.
Zoek naar sporen van misbruik
Omdat het lek al sinds juli actief wordt misbruikt, is het verstandig je site te controleren op onverwachte bestanden, vooral PHP-bestanden in uploadmappen, en op onbekende beheerders of wijzigingen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onbeperkte upload van bestanden met een gevaarlijk type (CWE-434) in de bijlagefunctie van de iCagenda-extensie voor Joomla. De upload wordt niet voldoende gecontroleerd, waardoor een aanvaller een PHP-bestand kan plaatsen. Dat bestand kan daarna op de server worden uitgevoerd, wat leidt tot uitvoering van willekeurige code op afstand. Volgens de CVSS 4.0-vector is de aanval via het netwerk uit te voeren, met lage complexiteit, zonder privileges en zonder gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. Getroffen zijn versies 3.2.1 tot en met 4.0.7.
CVSS-vector (versie 4.0, basisscore 10,0, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:X/U:Red- Zwakheid (CWE)
- CWE-434 · Onbeperkt uploaden van bestanden met een gevaarlijk type
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 20,1%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 10 juli 2026
- Deadline van CISA
- 13 juli 2026
- Gebruikt door ransomwaregroepen
- Niet bekend