Alerta crítica: se ha publicado la vulnerabilidad CVE-2026-88857, que afecta a la extensión OrdaSoft Joomla Gallery para Joomla en versiones anteriores a la 6.2.7. La falla, clasificada como crítica con una puntuación CVSS de 9.4, permite a un usuario autenticado con privilegios core.manage ejecutar código remoto arbitrario mediante la subida de archivos maliciosos sin una validación adecuada. Se recomienda aplicar la actualización publicada por el fabricante de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-88857 |
|---|---|
| Fabricante | OrdaSoft.com |
| Producto | OrdaSoft Joomla Gallery free extension for Joomla |
| Publicación | 2026-09-20 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.4 (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) |
| Prioridad | 215 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-88857 es una vulnerabilidad de ejecución remota de código (RCE) que afecta a la extensión OrdaSoft Joomla Gallery para Joomla, en todas las versiones desde la 1.0.0 hasta la 6.2.6 inclusive. La falla reside en la función saveWatermark() de la extensión, que copia un archivo subido por el usuario a un directorio accesible desde la web.
El problema es que la función utiliza el nombre de archivo proporcionado por el cliente exactamente como se envía, sin realizar ningún tipo de comprobación de extensión, contenido ni saneamiento del nombre. Esto significa que un usuario autenticado con el permiso core.manage puede subir un archivo .php disfrazado con una cabecera Content-Type de imagen, y posteriormente ejecutarlo directamente solicitando la ruta resultante en el servidor.
La vulnerabilidad está clasificada como CWE-434 (Unrestricted Upload of File with Dangerous Type), una categoría que agrupa fallos de subida de archivos sin restricciones que permiten la ejecución de código arbitrario en el servidor.
El vector CVSS refleja que el ataque se realiza a través de la red (AV:N), con baja complejidad de ataque (AC:L) y sin necesidad de interacción del usuario (UI:N). Aunque se requiere autenticación con privilegios elevados (PR:H), el impacto potencial es total en cuanto a confidencialidad, integridad y disponibilidad, tanto del sistema como de los datos (VC:H/VI:H/VA:H).
La vulnerabilidad fue publicada el 20 de septiembre de 2026 y seleccionada por su criticidad, relevancia y puntuación RyzerBot. No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas.
Productos y versiones vulnerables
Según la información publicada por CVE.org, la vulnerabilidad afecta a las siguientes versiones del producto:
| Producto | Fabricante | Versiones afectadas | Estado |
|---|---|---|---|
| OrdaSoft Joomla Gallery free extension for Joomla | OrdaSoft.com | 1.0.0 – 6.2.6 | Afectada |
| OrdaSoft Joomla Gallery extension for Joomla | OrdaSoft.com | 1.0.0 – 6.2.6 | Afectada |
La versión 6.2.7 es la primera que corrige la vulnerabilidad, según se desprende de la descripción de la CVE. No se han publicado versiones adicionales afectadas en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad CVE-2026-88857 ha sido clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.4. El vector asociado es CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, lo que indica un impacto total en la confidencialidad, integridad y disponibilidad tanto del sistema afectado como del entorno que lo aloja.
La causa raíz es una vulnerabilidad de tipo CWE-434 (Unrestricted Upload of File with Dangerous Type). El método saveWatermark() de la extensión copia un archivo subido por el usuario a un directorio accesible web, utilizando el nombre de archivo proporcionado por el cliente sin ningún tipo de validación: ni de extensión, ni de contenido, ni de saneamiento del nombre. Un usuario autenticado con el permiso core.manage podría subir un archivo .php disfrazado con una cabecera Content-Type de imagen y ejecutarlo directamente solicitando la ruta resultante.
El riesgo principal es la ejecución remota de código con los privilegios del servidor web, lo que podría permitir al atacante:
- Comprometer completamente el sitio Joomla y su base de datos.
- Escalar privilegios dentro del servidor si los servicios no están correctamente aislados.
- Utilizar el servidor como punto de partida para ataques a otros sistemas de la red.
- Alterar o destruir datos, o instalar puertas traseras persistentes.
Aunque el vector requiere autenticación (PR:H), la criticidad se mantiene alta porque el permiso core.manage suele estar presente en usuarios con roles de gestión de contenido, que no son necesariamente administradores del sistema. La explotación no requiere interacción del usuario (UI:N) y la complejidad de ataque es baja (AC:L).
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se ha confirmado ni se ha publicado ningún exploit público o prueba de concepto en las referencias incluidas en el contexto.
Sin embargo, la naturaleza de la vulnerabilidad (subida de archivos sin restricciones) es un patrón clásico y fácilmente explotable, por lo que se recomienda asumir un riesgo elevado y aplicar las mitigaciones con carácter urgente, incluso sin confirmación de explotación activa.
Indicadores de compromiso (IOC)
El campo enrichment.ioc de las fuentes consultadas está vacío. No se han extraído indicadores de compromiso estructurados (direcciones IP, dominios, hashes de archivos, rutas específicas, etc.) de NVD ni de CVE.org.
No deben inventarse indicadores. En caso de sospecha de compromiso, se recomienda buscar archivos .php inusuales en el directorio de subida de la extensión OrdaSoft Joomla Gallery, así como revisar los registros de acceso al servidor web en busca de peticiones a rutas con extensiones .php que no correspondan a archivos legítimos de la aplicación.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Joomla es vulnerable a CVE-2026-88857, debes verificar la versión exacta de la extensión OrdaSoft Joomla Gallery que tienes desplegada. Según los datos publicados por CVE.org, todas las versiones comprendidas entre la 1.0.0 y la 6.2.6 están afectadas. La vulnerabilidad se corrige a partir de la versión 6.2.7.
El proceso de comprobación es el siguiente:
- Accede al panel de administración de Joomla (
/administrator). - Navega hasta Extensiones → Gestionar → Instalar o, alternativamente, a Sistema → Información si tu versión de Joomla lo permite.
- Localiza en la lista la entrada correspondiente a OrdaSoft Joomla Gallery y anota el número de versión exacto.
- Si la versión es 6.2.6 o anterior, la instalación es vulnerable y requiere acción inmediata.
También puedes revisar el directorio de la extensión en el servidor. Los archivos suelen ubicarse en /components/com_joomla_gallery/ o en la ruta que el instalador haya definido. Busca el archivo de manifiesto joomla_gallery.xml y consulta el atributo <version> en su interior.
Nota importante: Si no puedes determinar la versión por estos medios, contacta con el administrador del servidor o con el proveedor que gestiona el sitio para que realice la comprobación. No asumas que la extensión está actualizada sin verificarlo directamente.
Mitigación y actualización
La única solución definitiva documentada por el fabricante es la actualización a la versión 6.2.7 o superior de la extensión. El aviso oficial de OrdaSoft.com es la referencia primaria para obtener el paquete de actualización.
Mientras se aplica la actualización, se recomienda adoptar las siguientes medidas temporales de contención:
- Restringir el acceso a la funcionalidad de marca de agua (watermark) de la extensión. Esta función es el vector de explotación descrito en el aviso, ya que la función
saveWatermark()copia archivos subidos por el usuario al directorio web sin validar la extensión, el contenido ni el nombre del archivo. - Revisar los permisos de los usuarios con perfil
core.manage. La vulnerabilidad requiere autenticación previa y privilegios de gestión, por lo que limitar este tipo de cuentas reduce la superficie de ataque. - Auditar el directorio de subida de la extensión en busca de archivos
.phpque no deberían estar presentes. Si se encuentra algún archivo sospechoso, debe eliminarse inmediatamente y revisarse el registro de acceso del servidor para determinar si ha sido ejecutado. - Monitorizar los logs del servidor web para detectar peticiones inusuales a archivos con extensión
.phpdentro de los directorios de la galería.
No se han publicado parches alternativos, workarounds oficiales ni firmas de detección específicas más allá de la actualización de la extensión. Tampoco se han divulgado indicadores de compromiso (IOC) estructurados en las fuentes consultadas.
Checklist para administradores
- ☐ Verificar la versión instalada de OrdaSoft Joomla Gallery en el panel de administración.
- ☐ Confirmar si la versión está en el rango afectado (1.0.0 – 6.2.6).
- ☐ Descargar la versión 6.2.7 o superior desde el sitio oficial del fabricante.
- ☐ Realizar una copia de seguridad completa del sitio y la base de datos antes de actualizar.
- ☐ Aplicar la actualización en un entorno de pruebas si es posible.
- ☐ Desplegar la actualización en producción y verificar el correcto funcionamiento de la galería.
- ☐ Revisar el directorio de subida de la extensión en busca de archivos PHP no autorizados.
- ☐ Auditar los registros de acceso del servidor en busca de peticiones sospechosas.
- ☐ Revisar la lista de usuarios con privilegios
core.managey eliminar cuentas innecesarias. - ☐ Documentar la acción realizada y la fecha de la actualización.
Preguntas frecuentes
¿Qué versión de Joomla se ve afectada por esta vulnerabilidad?
La vulnerabilidad afecta a la extensión OrdaSoft Joomla Gallery en versiones de la 1.0.0 a la 6.2.6, independientemente de la versión de Joomla subyacente. El aviso no especifica restricciones adicionales sobre el CMS.
¿Qué tipo de atacante puede explotar esta vulnerabilidad?
El vector de ataque es de red (AV:N) y requiere autenticación previa con privilegios de gestión (PR:H). Un usuario autenticado con permiso core.manage podría subir un archivo PHP disfrazado con una cabecera Content-Type de imagen y ejecutarlo directamente solicitando la ruta resultante.
¿Cuál es la puntuación CVSS de esta vulnerabilidad?
La puntuación CVSS v4.0 asignada es de 9.4 (Crítica), con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. El impacto en confidencialidad, integridad y disponibilidad es alto tanto en el sistema como en el entorno contenedor.
¿Existen exploits públicos disponibles?
Las fuentes consultadas (NVD y CVE.org) no publican información sobre exploits públicos ni pruebas de concepto para esta vulnerabilidad. No se debe asumir su inexistencia; la ausencia de exploits públicos no implica que no puedan desarrollarse.
¿La vulnerabilidad afecta a la versión gratuita y de pago de la extensión?
Sí. El aviso menciona específicamente OrdaSoft Joomla Gallery free extension for Joomla y también OrdaSoft Joomla Gallery extension for Joomla como productos afectados en el mismo rango de versiones.
¿Qué hago si ya he sido comprometido?
Si se detecta actividad sospechosa o archivos PHP no autorizados en el directorio de subida, se debe asumir un compromiso potencial. Aísla el servidor, realiza una copia forense de los logs y del sistema de archivos, elimina los archivos maliciosos y restaura desde una copia de seguridad limpia anterior a la fecha de publicación de la vulnerabilidad. Contacta con un equipo de respuesta a incidentes si no dispones de los recursos internos.