Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-88856, que afecta a la extensión OrdaSoft Joomla Gallery para Joomla en versiones anteriores a la 6.2.7. Esta falla permite la ejecución remota de código (RCE) a un atacante autenticado con privilegios elevados, con una puntuación CVSS de 9.4. Se recomienda encarecidamente a los administradores de sitios Joomla que utilicen esta extensión que revisen la información oficial y apliquen las actualizaciones o mitigaciones proporcionadas por el fabricante.
Resumen ejecutivo
La vulnerabilidad CVE-2026-88856, clasificada como CRÍTICA con una puntuación CVSS de 9.4, permite la ejecución remota de código en la extensión OrdaSoft Joomla Gallery para Joomla. El fallo reside en la función updateOSGallery(), que es invocada a través de la tarea task=update_osgallery. Esta función procesa un cuerpo de solicitud JSON y ejecuta el valor del campo method como una función PHP en vivo, pasando el valor del campo package como su único argumento. No se realiza ninguna comprobación de lista blanca o is_callable(), lo que permite a un atacante autenticado con privilegios llamar a funciones del sistema como system, exec, shell_exec y passthru.
| CVE | CVE-2026-88856 |
|---|---|
| Fabricante | OrdaSoft.com |
| Producto | OrdaSoft Joomla Gallery free extension for Joomla |
| Fecha de publicación | 2026-09-20 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.4 (CVSS:4.0) |
| Prioridad | 215 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-88856 es un caso de inyección de código (CWE-94) en la extensión OrdaSoft Joomla Gallery para Joomla. El problema se origina en la función updateOSGallery(), que se alcanza mediante la tarea task=update_osgallery. Esta función está diseñada para procesar una solicitud con un cuerpo en formato JSON. Sin embargo, en lugar de validar y restringir los parámetros recibidos, la función toma el valor del campo method del JSON y lo utiliza directamente como el nombre de una función PHP que se invoca en tiempo real. Además, el valor del campo package se pasa como el único argumento a esa función.
La falta de una lista blanca de funciones permitidas o de una verificación mediante is_callable() significa que cualquier función PHP que acepte un solo argumento puede ser invocada. Esto incluye funciones críticas del sistema como system, exec, shell_exec y passthru, que permiten la ejecución de comandos arbitrarios en el servidor. Un atacante que haya autenticado con privilegios suficientes en el sitio Joomla podría explotar esta falla para comprometer completamente el servidor, robar datos, instalar malware o realizar otras acciones maliciosas.
La vulnerabilidad afecta a las versiones de la extensión desde la 1.0.0 hasta la 6.2.6. La versión 6.2.7 corrige el problema, según la información publicada por las fuentes consultadas. Es importante destacar que la explotación requiere autenticación previa con privilegios, lo que reduce ligeramente la superficie de ataque, pero no disminuye la gravedad del impacto si un atacante logra obtener dichas credenciales.
La puntuación CVSS de 9.4 refleja la alta gravedad del problema. El vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H indica que la red es el vector de ataque, la complejidad es baja, no se requieren interacciones con el usuario y se necesita un nivel de privilegios alto. El impacto en la confidencialidad, integridad y disponibilidad es alto, tanto para el sistema como para el entorno que lo rodea.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-88856 afecta a la extensión OrdaSoft Joomla Gallery para Joomla, tanto en su edición gratuita como en la completa. Según los datos publicados por CVE.org, las versiones afectadas son todas las comprendidas entre la 1.0.0 y la 6.2.6, ambas inclusive. La corrección se introduce en la versión 6.2.7, que es la primera que no presenta la vulnerabilidad.
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| OrdaSoft Joomla Gallery free extension for Joomla | 1.0.0 – 6.2.6 | 6.2.7 |
| OrdaSoft Joomla Gallery extension for Joomla | 1.0.0 – 6.2.6 | 6.2.7 |
Es importante señalar que la fuente NVD no ha publicado una lista estructurada de productos afectados en el momento de redactar este análisis. La información de la tabla procede de la entrada de CVE.org, que sí detalla el rango de versiones vulnerable. Se recomienda a los administradores que verifiquen la versión instalada de la extensión y la comparen con el rango indicado.
Impacto y riesgo
La gravedad de esta vulnerabilidad es crítica, con una puntuación CVSS de 9.4 según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Aunque el vector requiere privilegios altos para explotarse, el impacto potencial es devastador: compromiso total de la confidencialidad, integridad y disponibilidad del sistema, así como de los componentes de seguridad adyacentes.
La causa raíz es un fallo de inyección de código (CWE-94) en la función updateOSGallery(), accesible a través del parámetro task=update_osgallery. La extensión lee el cuerpo de una petición JSON y utiliza el valor del campo method como nombre de una función PHP que se invoca directamente, pasando el valor del campo package como único argumento. No existe ninguna lista blanca ni comprobación de is_callable().
Esto significa que un atacante autenticado con privilegios suficientes puede invocar funciones críticas del sistema como system, exec, shell_exec o passthru, ejecutando comandos arbitrarios en el servidor. El riesgo práctico es la toma de control total del sitio Joomla y, potencialmente, del servidor que lo aloja, con el consiguiente acceso a datos sensibles, modificación de contenido y uso del sistema como plataforma para ataques posteriores.
Estado de explotación conocida
En el momento de redactar este análisis, las fuentes consultadas no publican información sobre explotación activa de esta vulnerabilidad. No se han divulgado pruebas de concepto públicas ni informes de ataques en curso que utilicen CVE-2026-88856. No obstante, la naturaleza de la vulnerabilidad —ejecución remota de código con una llamada directa a funciones del sistema— hace que su explotación sea técnicamente sencilla una vez que se dispone de credenciales válidas con privilegios elevados.
La ausencia de informes de explotación no debe interpretarse como una garantía de seguridad. Dado el alto valor de la puntuación CVSS y la facilidad de reproducción del fallo, se recomienda tratar esta vulnerabilidad como de alto riesgo y aplicar la actualización correspondiente con carácter urgente.
Indicadores de compromiso (IOC)
Las fuentes consultadas no han publicado indicadores de compromiso estructurados para esta vulnerabilidad. No se dispone de direcciones IP, dominios, hashes de ficheros maliciosos, rutas de artefactos ni otros IOC que puedan utilizarse para detectar actividad relacionada con CVE-2026-88856 en los sistemas.
En ausencia de IOC publicados, se recomienda a los administradores que supervisen los registros de acceso al sitio Joomla en busca de peticiones dirigidas al endpoint task=update_osgallery con cuerpos JSON que contengan campos method con nombres de funciones del sistema como system, exec, shell_exec o passthru. También deben revisarse los logs del servidor web en busca de respuestas inusuales o errores de ejecución de comandos. No deben inventarse IOC adicionales que no procedan de las fuentes oficiales.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Joomla es vulnerable a CVE-2026-88856, debes verificar la versión exacta de la extensión OrdaSoft Joomla Gallery que tienes desplegada. Según los datos publicados por CVE.org, todas las versiones comprendidas entre la 1.0.0 y la 6.2.6 (ambas incluidas) están afectadas. La corrección se introduce en la versión 6.2.7, por lo que cualquier instalación anterior a este número debe considerarse en riesgo.
Para realizar la comprobación, sigue estos pasos:
- Accede al panel de administración de tu sitio Joomla.
- Navega hasta Extensiones → Gestor de extensiones y localiza la entrada correspondiente a OrdaSoft Joomla Gallery.
- Anota el número de versión que aparece en la lista. Si es inferior a 6.2.7, la instalación es vulnerable.
- Si no encuentras la versión en el gestor, revisa el archivo
manifest.xmldentro del directorio de la extensión en el servidor (normalmente en/components/com_ordagallery/o similar).
Además de la versión, debes considerar el nivel de privilegio necesario para explotar la vulnerabilidad. El vector CVSS indica que se requiere autenticación previa con privilegios elevados (PR:H). Esto significa que el atacante necesitaría acceso a una cuenta con permisos de administrador en la extensión o en el sitio. No obstante, la criticidad se mantiene alta (9.4) porque el impacto en confidencialidad, integridad y disponibilidad es total, y la red de ejecución es remota.
Si tienes dudas sobre si tu cuenta o las de tus colaboradores tienen los privilegios suficientes, revisa los permisos de acceso asignados a cada grupo de usuarios en la configuración de la extensión. Cualquier usuario con capacidad de ejecutar tareas administrativas de la galería podría ser un vector de ataque.
Mitigación y actualización
La acción principal recomendada por el fabricante y por las fuentes consultadas es actualizar la extensión a la versión 6.2.7 o superior. Según la información publicada por CVE.org, esta versión corrige la vulnerabilidad. No se han publicado parches alternativos ni hotfixes oficiales en las referencias disponibles.
Mientras se aplica la actualización, se pueden adoptar las siguientes medidas de contención temporal:
- Restringir el acceso al endpoint vulnerable: la función
updateOSGallery()se alcanza mediante la tareatask=update_osgallery. Si es posible, bloquea a nivel de servidor web (Apache, Nginx) las peticiones que contengan este parámetro, salvo para direcciones IP administrativas de confianza. - Limitar privilegios: revisa y reduce los permisos de los usuarios que puedan ejecutar tareas administrativas en la extensión. Cuantos menos usuarios con privilegios elevados, menor será la superficie de ataque.
- Monitorizar logs: revisa los registros de acceso y de aplicación en busca de peticiones inusuales que contengan
task=update_osgalleryo que incluyan campos JSON con nombres de funciones PHP comosystem,exec,shell_execopassthru. - Deshabilitar la extensión: si la galería no es imprescindible para el funcionamiento del sitio, considera desactivarla temporalmente hasta aplicar la actualización.
Es importante señalar que no se han publicado IOC (indicadores de compromiso) estructurados en las fuentes consultadas, por lo que no es posible ofrecer una lista de señales técnicas específicas para detectar una explotación previa. La monitorización debe basarse en el comportamiento anómalo de las peticiones y en la revisión de los logs del servidor.
Checklist para administradores
- ☐ He identificado la versión exacta de OrdaSoft Joomla Gallery instalada en mi sitio.
- ☐ He confirmado si mi versión está dentro del rango afectado (1.0.0 – 6.2.6).
- ☐ He revisado los permisos de los usuarios que pueden acceder a tareas administrativas de la extensión.
- ☐ He bloqueado temporalmente el acceso al endpoint
task=update_osgallerypara usuarios no autorizados. - ☐ He revisado los logs del servidor en busca de peticiones sospechosas con nombres de funciones PHP.
- ☐ He planificado la actualización a la versión 6.2.7 o superior en un entorno de pruebas antes de producción.
- ☐ He verificado que las copias de seguridad recientes están disponibles y son restaurables.
- ☐ He notificado a los administradores del sitio sobre la necesidad de aplicar la corrección.
Preguntas frecuentes
¿Qué versión de OrdaSoft Joomla Gallery corrige esta vulnerabilidad?
Según la información publicada por CVE.org, la versión 6.2.7 es la que introduce la corrección. Las versiones anteriores (1.0.0 a 6.2.6) están afectadas.
¿Se requiere autenticación para explotar CVE-2026-88856?
Sí. El vector CVSS indica que se necesita autenticación previa con privilegios elevados (PR:H). Esto significa que el atacante debe tener una cuenta con permisos administrativos en la extensión o en el sitio Joomla.
¿Qué funciones PHP son peligrosas en este contexto?
La descripción de la vulnerabilidad menciona que funciones como system, exec, shell_exec y passthru son directamente alcanzables. Cualquier función PHP que acepte un único argumento y ejecute comandos del sistema podría ser utilizada.
¿Existen IOC o señales de compromiso conocidas?
No. Las fuentes consultadas (NVD y CVE.org) no han publicado IOC estructurados. No se deben inventar indicadores; la detección debe basarse en la revisión de logs y en la monitorización de peticiones anómalas.
¿Puedo mitigar el riesgo sin actualizar?
Se pueden aplicar medidas temporales como restringir el acceso al endpoint vulnerable, limitar privilegios y monitorizar logs. Sin embargo, la única solución definitiva es actualizar a la versión 6.2.7 o superior.
¿Dónde puedo obtener más información oficial?
Las referencias oficiales disponibles son el aviso de NVD y el sitio web del fabricante OrdaSoft. Puedes consultar los enlaces en la sección de fuentes oficiales de este artículo.
Fuentes oficiales
Las siguientes fuentes han sido consultadas para la elaboración de este análisis:
No se han publicado otras referencias adicionales en las fuentes consultadas. Se recomienda revisar periódicamente el aviso de NVD y el sitio del fabricante para obtener actualizaciones sobre parches o información complementaria.