Lo m\u00e1s importante en resumen<\/p>\n
- \n
- KEV desde 10.07.2026.<\/strong> iCagenda y Balbooa Forms con explotaci\u00f3n salvaje confirmada.<\/li>\n
- Nivel de parche estricto.<\/strong> iCagenda 4.0.8 \/ 3.9.15; Balbooa Forms 2.4.1 o posterior.<\/li>\n
- IOCs en carpetas de carga.<\/strong> PHP en images\/icagenda y images\/baforms es una bandera roja.<\/li>\n
- Inventario primero.<\/strong> \u00bfQu\u00e9 sitios ejecutan qu\u00e9 versi\u00f3n de la extensi\u00f3n? Sin lista, el parche es casualidad.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>Cuatro vulnerabilidades en KEV<\/a> \/<\/span> Vulnerabilidad de subida de Squidex<\/a><\/p>\n
Qu\u00e9 CISA incluy\u00f3 en KEV el 10 de julio<\/h2>\n
\u00bfQu\u00e9 es el upload KEV de Joomla?<\/strong> Una extensi\u00f3n de terceros con carga no autenticada de tipos de archivos peligrosos. CVE-2026-48939 afecta a iCagenda (com_icagenda) a trav\u00e9s de la presentaci\u00f3n p\u00fablica de eventos. CVE-2026-56291 afecta a Balbooa Forms (com_baforms): carga en el frontend sin inicio de sesi\u00f3n, sin revisi\u00f3n CSRF y sin lista de allowlist de extensiones hasta la versi\u00f3n 2.4.0.<\/p>\n
\nDefinici\u00f3n · KEV-Upload-RCE<\/p>\n
Una interfaz de carga p\u00fablica accesible acepta archivos ejecutables sin necesidad de iniciar sesi\u00f3n. El atacante coloca PHP y obtiene ejecuci\u00f3n remota de c\u00f3digo en el servidor web.<\/p>\n<\/div>\n
Ambas vulnerabilidades, seg\u00fan fuentes de divulgaci\u00f3n, son zero\u2011days con explotaci\u00f3n en curso. CISA las clasifica como Carga no restringida de archivos con tipo peligroso<\/em>. Para las agencias federales de EE.\u202fUU. se aplica el BOD 26-04 con remediaci\u00f3n prioritaria. Para los operadores de la zona DACH, KEV no es una obligaci\u00f3n legal, pero s\u00ed una se\u00f1al de prioridad fuerte.<\/p>\n
Nivel de parche y versiones afectadas<\/h2>\n
iCagenda: seg\u00fan mySites.guru afectado desde la 3.2.1 hasta la 3.9.14 y desde la 4.0.0 hasta la 4.0.7. Correcci\u00f3n en 4.0.8<\/strong> (15 de junio de 2026) y Legacy 3.9.15<\/strong> (16 de junio de 2026). La gravedad se sit\u00faa en el rango cr\u00edtico (Finder-Matrix a menudo 9.8, en partes de la discusi\u00f3n hasta 10.0).<\/p>\n
Balbooa Forms: afectado hasta la versi\u00f3n 2.4.0. Correcci\u00f3n en 2.4.1<\/strong> (9 de julio de 2026), indicador CVSS 4.0 Score 10.0. El changelog enumer\u00f3 inicialmente las medidas bajo \u00abFixed\u00bb sin un claro banner de seguridad. Quien solo filtra por la palabra \u00absecurity\u00bb pasa por alto el parche.<\/p>\n
Inventario, IoCs y lista de verificaci\u00f3n<\/h2>\n
Las campa\u00f1as de CMS rara vez atacan primero el n\u00facleo. Atacan la extensi\u00f3n con carga p\u00fablica. Las agencias con muchos sitios Joomla necesitan una lista de inventario: sitio, extensi\u00f3n, versi\u00f3n, accesible p\u00fablicamente s\u00ed\/no. Paralelamente al parche: revisar la carpeta de carga. Balbooa Forms coloca los archivos adjuntos t\u00edpicamente bajo images\/baforms\/uploads\/. iCagenda usa rutas bajo images\/icagenda. Cualquier archivo .php inesperado all\u00ed es una se\u00f1al de compromiso.<\/p>\n
\nJoomla-Upload-KEV ahora<\/p>\n
- \n
- ✓<\/span>Escanear todos los sitios en iCagenda y Balbooa Forms y exportar versiones<\/li>\n
- ✓<\/span>Actualizar inmediatamente a la versi\u00f3n m\u00ednima, no esperar al per\u00edodo de mantenimiento<\/li>\n
- ✓<\/span>Comprobar la carpeta de carga en busca de archivos PHP y shells desconocidos; revisar la lista de superusuarios<\/li>\n
- ✓<\/span>Revisar los registros de POST a tareas de carga de baforms-\/icagenda antes del momento del parche<\/li>\n
- ✓<\/span>WAF: bloquear cargas an\u00f3nimas con extensiones ejecutables hasta que el inventario est\u00e9 verde<\/li>\n<\/ul>\n<\/div>\n
Esta semana CISA tambi\u00e9n incluy\u00f3 vulnerabilidades relacionadas de constructores de Joomla en el contexto KEV (seg\u00fan el resumen de Finder sobre Page Builder CK y SP Page Builder). El patr\u00f3n es estable: puntos finales de formularios y AJAX an\u00f3nimos sin una allowlist estricta. Los constructores de formularios y los plugins de eventos son la superficie de ataque, no solo las herramientas de contenido. Fuentes primarias: CISA-Alert 10.07.2026, changelogs de proveedores, an\u00e1lisis t\u00e9cnicos de mySites.guru.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfEs suficiente un core-update de Joomla?<\/strong><\/summary>\n
No. Los huecos est\u00e1n en extensiones de terceros. Los parches del n\u00facleo no sustituyen una actualizaci\u00f3n de extensi\u00f3n.<\/p>\n<\/details>\n
\n\u00bfSolo est\u00e1n afectadas las autoridades estadounidenses?<\/strong><\/summary>\n
KEV se compromete principalmente con US-FCEB. La explotaci\u00f3n activa se extiende globalmente. Cualquier sitio Joomla accesible p\u00fablicamente con las extensiones est\u00e1 en alcance.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 hacer si no es posible una actualizaci\u00f3n inmediata?<\/strong><\/summary>\n
Desactivar formularios p\u00fablicos con carga de archivos o retirar la extensi\u00f3n sin conexi\u00f3n. Luego revisar forensicamente, luego parchear.<\/p>\n<\/details>\n
\n\u00bfCu\u00e1les IoCs son pr\u00e1cticos?<\/strong><\/summary>\n
Archivos PHP inesperados en images\/baforms y images\/icagenda, nuevos superusuarios, configuration.php modificada, rutas de webshell desconocidas.<\/p>\n<\/details>\n
\n\u00bfD\u00f3nde est\u00e1 la fuente primaria?<\/strong><\/summary>\n
Alerta KEV de CISA del 10.07.2026 sobre CVE-2026-48939 y CVE-2026-56291; changelogs de iCagenda 4.0.8\/3.9.15 y Balbooa 2.4.1; an\u00e1lisis, entre otros, mySites.guru.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/sharepoint-jwt-bypass-cve-2026-55040-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>Bypass de JWT en SharePoint abre sitios locales<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/bitlocker-bypass-cve-2026-50661-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>Vulnerabilidad de BitLocker ante acceso f\u00edsico en 2026<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/vier-luecken-im-kev-eine-zieht-cloud-schluessel-ab-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>Cuatro lagunas en el KEV: una de ellas desv\u00eda claves de la nube<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-aws-sovereign-cloud-was-wirklich-getrenn-12030184.jpg\")
<\/span>cloudmagazin<\/span>AWS Cloud soberana: qu\u00e9 est\u00e1 realmente separado<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-digitaler-produktpass-hersteller-pflicht-48690623-250x141.jpg\")
<\/span>MyBusinessFuture<\/span>Pasaporte digital de producto: qu\u00e9 deben hacer los fabricantes<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CISA incluye CVE-2026-48939 (iCagenda) y CVE-2026-56291 (Balbooa Forms) en KEV. Puntuaci\u00f3n CVSS de hasta 10.0, explotaci\u00f3n activa y verificaci\u00f3n de IoC.","protected":false},"author":10,"featured_media":22152,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"vulnerabilidades Joomla CISA iCagenda Balbooa","_yoast_wpseo_title":"Dos vulnerabilidades de Joomla en la lista KEV de CISA","_yoast_wpseo_metadesc":"CISA a\u00f1ade CVE-2026-48939 y CVE-2026-56291 al KEV. Revisa parches, indicadores de compromiso y lista de inventario.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/joomla-icagenda-balbooa-kev-upload-rce-cover-hero.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/joomla-icagenda-balbooa-kev-upload-rce-cover-hero.jpg","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-22173","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":5,"wpml_language":"es","wpml_translation_of":22137,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22173","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22173"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22173\/revisions"}],"predecessor-version":[{"id":22178,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22173\/revisions\/22178"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22152"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22173"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22173"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22173"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>Actualizar inmediatamente a la versi\u00f3n m\u00ednima, no esperar al per\u00edodo de mantenimiento<\/li>\n
- Nivel de parche estricto.<\/strong> iCagenda 4.0.8 \/ 3.9.15; Balbooa Forms 2.4.1 o posterior.<\/li>\n