CVE-2026-102427: RCE crítica en OrdaSoft Joomla CCK

Qué es la vulnerabilidad

La CVE-2026-102427 es una vulnerabilidad de subida de archivos sin restricciones (CWE-434) que deriva en una ejecución remota de código. El fallo reside en el archivo site/uploader.php del componente OrdaSoft Joomla CCK en versiones anteriores a la 8.3.16.

El problema se origina en la combinación de dos deficiencias en la lógica de la aplicación:

1. Falta de autenticación: El archivo uploader.php es accesible a través del enrutamiento frontal normal del componente (mediante la tarea getContent). Este flujo no realiza ninguna comprobación de autenticación o de control de acceso (ACL) en toda la cadena de despacho de la solicitud. Esto significa que cualquier usuario anónimo puede interactuar con el cargador de archivos.
2. Validación de extensión deficiente: Aunque el componente sí valida el contenido del archivo subido mediante una comprobación de los magic bytes (firma MIME real), la lista blanca de extensiones que debería restringir el tipo de archivo guardado estaba presente en el código fuente pero comentada. En consecuencia, la extensión del archivo guardado se toma directamente del nombre de archivo proporcionado por el atacante, sin ninguna validación adicional.

El archivo se escribe en una ruta directamente bajo la raíz web de Joomla, una ubicación que es interpretada y ejecutada por el manejador de PHP. Un atacante puede explotar esta vulnerabilidad subiendo un políglota imagen/PHP: un archivo cuyos bytes de cabecera cumplen con la comprobación MIME (por ejemplo, una imagen válida) pero que tiene código PHP añadido a continuación. Al pasar la comprobación de contenido y llevar una extensión .php arbitraria, el archivo se guarda en el servidor y, al ser solicitado, el código PHP se ejecuta con los privilegios del servidor web.

En resumen, la vulnerabilidad permite a un atacante remoto no autenticado subir y ejecutar código arbitrario en el servidor, lo que resulta en un compromiso total del sitio web y, potencialmente, del servidor subyacente.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-102427 afecta a la extensión OrdaSoft Joomla CCK del fabricante ordasoft.com. Según la información publicada por CVE.org, todas las versiones comprendidas entre 1.0.0 y 8.3.15 se consideran afectadas. La versión corregida es la 8.3.16, que es la que incorpora la corrección de la vulnerabilidad.

No se dispone de información adicional sobre otras versiones o ramas de soporte afectadas en las fuentes consultadas. Se recomienda encarecidamente a los administradores de sitios Joomla que utilicen este componente que verifiquen la versión instalada y actualicen a la versión 8.3.16 o posterior de manera inmediata.

Impacto y riesgo

Esta vulnerabilidad presenta una gravedad CRÍTICA con una puntuación CVSS de 10.0 según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:X/U:X. El vector refleja que la explotación es posible de forma remota sin necesidad de autenticación previa ni interacción del usuario, con un impacto total en la confidencialidad, integridad y disponibilidad de los datos y del sistema.

El riesgo principal radica en la ejecución remota de código sin autenticación. Un atacante podría aprovechar la combinación de fallos en la validación de la extensión del archivo subido y la ausencia de controles de acceso en el flujo de enrutamiento frontal del componente para cargar un archivo poliglota (imagen/PHP) con extensión .php en el directorio raíz web de Joomla. Al estar el archivo almacenado en una ruta ejecutable por el intérprete de PHP, el atacante podría ejecutar código arbitrario en el servidor, comprometiendo completamente el sitio web y, potencialmente, el servidor subyacente.

Dado que el vector de ataque es de red, sin requisitos de autenticación y con una complejidad de ataque baja, la exposición de sitios Joomla con el componente vulnerable es extremadamente peligrosa. Un compromiso exitoso podría traducirse en el robo de datos confidenciales, la modificación de contenido, el despliegue de malware o el uso del servidor como punto de partida para ataques posteriores.

Estado de explotación conocida

Las fuentes consultadas no publican información explícita sobre la existencia de exploits públicos o ataques activos que aprovechen esta vulnerabilidad. La descripción técnica detallada incluida en el contexto describe con precisión el método de explotación (carga de un archivo poliglota con extensión .php), pero no se confirma si ha sido explotada de forma activa en entornos reales.

No obstante, la combinación de una puntuación CVSS máxima, la facilidad de explotación descrita y la ausencia de requisitos de autenticación hacen que esta vulnerabilidad sea un objetivo muy atractivo para los atacantes. Se recomienda asumir que la explotación es factible y tratar la actualización como urgente, incluso sin confirmación de explotación activa.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. La ausencia de IOC publicados no descarta la posibilidad de compromiso, especialmente considerando la naturaleza de la vulnerabilidad que implica la subida de archivos maliciosos al servidor.

Se recomienda a los administradores revisar los directorios de subida de archivos de Joomla en busca de archivos .php sospechosos que no hayan sido generados por usuarios legítimos, así como monitorizar los registros de acceso en busca de peticiones anómalas al componente uploader.php con el parámetro task=getContent. No obstante, estas son recomendaciones generales de higiene de seguridad y no IOC específicos publicados por las fuentes oficiales.

Cómo comprobar si estás afectado

Para determinar si tu instalación de Joomla es vulnerable a CVE-2026-102427, debes verificar la versión exacta del componente OrdaSoft Joomla CCK que tienes desplegada. Según los datos publicados por CVE.org, todas las versiones comprendidas entre 1.0.0 y 8.3.15 (ambas inclusive) están afectadas. La versión corregida es la 8.3.16.

El vector de ataque es remoto y no requiere autenticación, por lo que cualquier sitio que ejecute una versión vulnerable debe considerarse comprometido o en riesgo inminente. La explotación no requiere interacción del usuario y el impacto en confidencialidad, integridad y disponibilidad es alto.

Para comprobar tu estado, realiza las siguientes comprobaciones:

• Identifica la versión instalada: Accede al panel de administración de Joomla y navega a Extensiones → Gestionar → Instalar. Localiza «OrdaSoft Joomla CCK» en la lista y anota el número de versión mostrado.
• Revisa el archivo de manifiesto: Si tienes acceso al servidor, consulta el archivo manifest.xml dentro del directorio de la extensión (normalmente /components/com_ordasoft_cck/ o similar). La etiqueta <version> indica la versión exacta.
• Comprueba la existencia del archivo vulnerable: Verifica si el archivo site/uploader.php está presente en el componente. Su presencia confirma que la funcionalidad de subida está disponible y, por tanto, expuesta al fallo descrito.
• Audita los logs del servidor web: Revisa los registros de acceso en busca de peticiones sospechosas a uploader.php con parámetros como task=getContent. La presencia de este tipo de peticiones puede indicar intentos de explotación previos.

Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Si encuentras actividad sospechosa, asume que el sitio puede haber sido comprometido y actúa en consecuencia.

Mitigación y actualización

La única solución definitiva publicada por el fabricante es la actualización a la versión 8.3.16 del componente OrdaSoft Joomla CCK. Esta versión corrige la vulnerabilidad al restaurar la lista blanca de extensiones permitidas y validar correctamente la extensión del archivo subido.

Mientras tanto, y si no puedes actualizar de inmediato, aplica las siguientes medidas de contención:

• Deshabilita temporalmente el componente: Si el componente no es imprescindible para el funcionamiento del sitio, desactívalo desde el gestor de extensiones de Joomla. Esto elimina la superficie de ataque.
• Bloquea el acceso al archivo vulnerable: Configura el servidor web (Apache, Nginx, IIS) para denegar cualquier petición que intente acceder a uploader.php. Por ejemplo, en Apache puedes añadir una regla RewriteRule o un <Files> directive.
• Restringe la ejecución de PHP en el directorio de subida: Si el componente escribe archivos en un directorio bajo la raíz web, deshabilita la ejecución de PHP en esa ruta mediante php_admin_flag engine off (Apache) o la configuración equivalente en tu servidor.
• Monitoriza los logs: Activa alertas para cualquier petición que contenga task=getContent o que intente subir archivos con extensiones ejecutables (.php, .phtml, .php5, etc.).

El fabricante ha publicado el aviso oficial en su portal (ordasoft.com). Consulta allí las instrucciones específicas de actualización y cualquier comunicado adicional.

Checklist para administradores

• ☐ He identificado la versión exacta de OrdaSoft Joomla CCK instalada en mi sitio.
• ☐ He verificado si mi versión está dentro del rango afectado (1.0.0 – 8.3.15).
• ☐ He comprobado si el archivo site/uploader.php está presente en el componente.
• ☐ He revisado los logs del servidor en busca de peticiones sospechosas a uploader.php.
• ☐ He aplicado medidas de contención temporal (bloqueo del archivo o desactivación del componente).
• ☐ He planificado la actualización a la versión 8.3.16 en un entorno de pruebas antes de producción.
• ☐ He notificado al equipo de desarrollo o al proveedor del sitio sobre la exposición.
• ☐ He establecido un plan de monitorización reforzada para los próximos días.

Preguntas frecuentes

¿Qué hace exactamente esta vulnerabilidad?

Permite a un atacante no autenticado subir un archivo con extensión .php que, al ser almacenado en un directorio ejecutable del servidor, permite la ejecución remota de código arbitrario con los privilegios del usuario del servidor web.

¿Cómo se explota la vulnerabilidad?

El atacante envía una petición HTTP al componente a través de la ruta site/uploader.php con la tarea task=getContent. El archivo subido es un poliglota imagen/PHP: los primeros bytes cumplen la comprobación MIME de tipo de imagen, pero el resto del contenido contiene código PHP. Al no validarse la extensión, el archivo se guarda con extensión .php y puede ejecutarse directamente.

¿Qué versiones están afectadas?

Según CVE.org, todas las versiones desde la 1.0.0 hasta la 8.3.15 inclusive. La versión 8.3.16 corrige el problema.

¿Necesito autenticarme para ser vulnerable?

No. La vulnerabilidad se explota sin autenticación ni comprobación de control de acceso (ACL) en la cadena de despacho de la tarea getContent.

¿Qué impacto tiene si mi sitio es comprometido?

El atacante podría obtener control total del servidor web, robar datos, modificar el contenido del sitio, instalar malware o utilizar el servidor como punto de partida para otros ataques. La puntuación CVSS v4 es 10.0 (crítica).

¿Existen indicadores de compromiso (IOC) publicados?

No. Las fuentes consultadas (NVD y CVE.org) no han publicado IOC estructurados. No deben inventarse indicadores que no provengan de fuentes oficiales.