अमेरिकी साइबर सुरक्षा एजेंसी CISA ने चेतावनी जारी की कि iCagenda और Balbooa Forms जूमला एक्सटेंशन में मौजूद रिमोट कोड एक्सीक्यूशन (RCE) कमजोरियों का सक्रिय रूप से शोषण किया जा रहा है। एजेंसी ने फेडरल साइटों को तीन दिनों के भीतर पैच लागू करने का आदेश दिया है।

मुख्य बिंदु (Key Takeaways)

  • iCagenda और Balbooa Forms में फ़ाइल अपलोड बग्स ने रिमोट कोड एक्सीक्यूशन को संभव बनाया।
  • CVE-2026-48939 और CVE-2026-56291 को KEV सूची में जोड़ा गया है।
  • फेडरल एजेंसियों को आज तक पैच लागू करने का अंतिम期限 दिया गया है।

अमेरिकी Cybersecurity and Infrastructure Security Agency (CISA) ने जूमला कंटेंट मैनेजमेंट सिस्टम के दो लोकप्रिय एक्सटेंशन – iCagenda और Balbooa Forms – में मौजूद गंभीर कमजोरियों को उजागर किया है। ये कमजोरियां हमलावरों को मनमाने फ़ाइल अपलोड करने और सर्वर पर रिमोट कोड चलाने (RCE) की अनुमति देती हैं, जिससे वेबसाइट पूरी तरह से समझौता हो सकती है।

पृष्ठभूमि और तकनीकी विवरण

पहला बग, CVE-2026-48939, iCagenda में एक अनियंत्रित फ़ाइल अपलोड बग है, जो इवेंट रजिस्ट्रेशन और कैलेंडर निर्माण के लिए उपयोग होता है। इस बग के ज़रिए हमलावर PHP स्क्रिप्ट अपलोड कर सकेंगे, जिससे डेटा चोरी, वेब शेल स्थापित करना और पूरी साइट का नियंत्रण हासिल करना संभव है। दूसरा बग, CVE-2026-56291, Balbooa Forms में समान फ़ाइल अपलोड समस्या है, जो ड्रैग‑एंड‑ड्रॉप फॉर्म बिल्डर के माध्यम से संपर्क फ़ॉर्म बनाता है। इस बग के कारण निष्पाद्य फ़ाइलें अपलोड कर RCE प्राप्त किया जा सकता है।

प्रभाव और जोखिम

दोनों कमजोरियों का शोषण पहले ही स्वचालित हमलों में देखा गया है, जहाँ iCagenda के लिए पैच जारी होने से कुछ घंटे पहले ही हमले शुरू हो गए थे। Balbooa Forms का शून्य‑दिन (zero‑day) एक्सप्लॉइट 8 जुलाई से सक्रिय था, जो पैच रिलीज़ से एक दिन पहले शुरू हुआ। ऐसे हमले न केवल वेबसाइट की विश्वसनीयता को धूमिल करते हैं, बल्कि संवेदनशील उपयोगकर्ता डेटा, वित्तीय जानकारी और सरकारी संसाधनों को भी खतरे में डालते हैं।

पैच और अनुशंसित कार्रवाई

CISA ने फेडरल एजेंसियों को आज के अंत तक इन कमजोरियों के लिए उपलब्ध अपडेट लागू करने का निर्देश दिया है। iCagenda के लिए संस्करण 4.0.8 (और 3.9.15) तथा Balbooa Forms के लिए संस्करण 2.4.1 ने इन खामियों को ठीक किया है। साइट प्रशासकों को तुरंत अपने जूमला इंस्टॉलेशन में इन एक्सटेंशन के संस्करण की जाँच कर आवश्यक अपडेट लागू करना चाहिए, साथ ही अनावश्यक फ़ाइल अपलोड क्षमताओं को बंद करके अतिरिक्त सुरक्षा परत जोड़नी चाहिए।

भविष्य की दिशा

जूमला इकोसिस्टम में इस तरह के उच्च‑प्राथमिकता वाले बग्स की आवृत्ति बढ़ रही है, जिससे ओपन‑सॉर्स प्रोजेक्ट्स में कोड समीक्षा और बग बाउंटी कार्यक्रमों की आवश्यकता स्पष्ट होती है। CISA की तेज़ प्रतिक्रिया और KEV सूची में इन कमजोरियों को जोड़ना अन्य देशों और निजी संस्थाओं को समान जोखिमों के प्रति सतर्क रहने की सीख देता है। निरंतर पेन‑टेस्टिंग, स्वचालित पैच मैनेजमेंट और प्रिवेंटिव मॉनिटरिंग को अपनाकर ही हम इन सतत बदलते साइबर खतरों से बचाव कर सकते हैं।