{"id":1509,"date":"2026-07-13T08:00:43","date_gmt":"2026-07-13T08:00:43","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/13\/los-defectos-de-icagenda-y-balbooa-forms-joomla-supuestamente-se-explotan-como-dias-cero-cyberdefensa-mx\/"},"modified":"2026-07-13T08:00:43","modified_gmt":"2026-07-13T08:00:43","slug":"los-defectos-de-icagenda-y-balbooa-forms-joomla-supuestamente-se-explotan-como-dias-cero-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/13\/los-defectos-de-icagenda-y-balbooa-forms-joomla-supuestamente-se-explotan-como-dias-cero-cyberdefensa-mx\/","title":{"rendered":"Los defectos de iCagenda y Balbooa Forms Joomla supuestamente se explotan como d\u00edas cero \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha <a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/07\/10\/cisa-adds-two-known-exploited-vulnerabilities-catalog\" target=\"_blank\">agregado<\/a> dos fallas de seguridad de m\u00e1xima gravedad que afectan las extensiones iCagenda y Balbooa para Joomla a sus vulnerabilidades explotadas conocidas (<a href=\"https:\/\/www.cisa.gov\/known-exploited-vulnerabilities-catalog\" target=\"_blank\">KEV<\/a>) cat\u00e1logo, tras informes de explotaci\u00f3n de d\u00eda cero en la naturaleza.<\/p>\n<p>Las vulnerabilidades, ambas con una calificaci\u00f3n de 10.0 en el sistema de puntuaci\u00f3n CVSS, se encuentran a continuaci\u00f3n:<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-48939\" target=\"_blank\">CVE-2026-48939<\/a><\/strong>  \u2013 Una vulnerabilidad en la extensi\u00f3n iCagenda para Joomla que permite la carga de archivos arbitrarios a trav\u00e9s de la funci\u00f3n de archivos adjuntos, lo que lleva a la carga y ejecuci\u00f3n de c\u00f3digo PHP.<\/li>\n<li><strong><a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-56291\" target=\"_blank\">CVE-2026-56291<\/a><\/strong>  \u2013 Una vulnerabilidad en la extensi\u00f3n Balbooa Forms para Joomla que permite la carga de archivos arbitrarios, lo que lleva a la ejecuci\u00f3n remota de c\u00f3digo.<\/li>\n<\/ul>\n<p>Seg\u00fan mySites.guru, un servicio de panel de control basado en la nube para administrar sitios web de WordPress y Joomla, se dice que CVE-2026-48939 ha sido explotado como d\u00eda cero desde el 15 de junio de 2026, en ataques automatizados dirigidos a sitios de Joomla en los que est\u00e1 instalado iCagenda. Reside en la funcionalidad del formulario \u00abEnviar un evento\u00bb, que permite a los usuarios proponer eventos para el calendario.<\/p>\n<p>\u00abLo vimos por primera vez en el registro de acceso de un cliente: un esc\u00e1ner automatizado que se identific\u00f3 como &#8216;icagenda-batch\/1.0&#8217; tom\u00f3 un token, public\u00f3 una carga maliciosa en el punto final de env\u00edo y luego busc\u00f3 el shell colocado en la ruta exacta en la que el componente escribe archivos adjuntos\u00bb, mySites.guru <a href=\"https:\/\/mysites.guru\/blog\/icagenda-zero-day-file-upload-rce\/\" target=\"_blank\">dicho<\/a>.<\/p>\n<p>La falla afecta a las siguientes versiones:<\/p>\n<ul>\n<li>Versiones 4.x hasta 4.0.7 inclusive<\/li>\n<li>Versiones heredadas 3.x desde 3.2.1 hasta 3.9.14 inclusive<\/li>\n<\/ul>\n<p>JoomliC desde entonces <a href=\"https:\/\/www.joomlic.com\/news\/icagenda-security-update\" target=\"_blank\">actualizaciones publicadas<\/a> para solucionar el problema en las versiones 4.0.8 y 3.9.15 de iCagenda. Se recomienda a los propietarios de sitios que busquen archivos PHP sospechosos en la carpeta \u00abimages\/icagenda\/frontend\/attachments\/\u00bb y los eliminen.<\/p>\n<p>MySites.guru dijo que tambi\u00e9n observ\u00f3 explotaci\u00f3n de d\u00eda cero de CVE-2026-56291, que afecta a las versiones de Balbooa Forms hasta la 2.4.0 inclusive. Ha sido <a href=\"https:\/\/www.balbooa.com\/help\/joomla-forms-documentation\/basics\/changelog\" target=\"_blank\">parcheado<\/a> en la versi\u00f3n 2.4.1.<\/p>\n<p>\u00abHasta la versi\u00f3n 2.4.0 inclusive, la carga de archivos adjuntos en la interfaz ten\u00eda un error grave: aceptaba un archivo de cualquier visitante an\u00f3nimo, sin iniciar sesi\u00f3n, sin token CSRF y sin verificar el tipo de archivo\u00bb, <a href=\"https:\/\/mysites.guru\/blog\/balbooa-forms-unauthenticated-file-upload-flaw\/#cve-record-and-disclosure-timeline\" target=\"_blank\">dicho<\/a>. \u00abUn atacante podr\u00eda cargar un archivo PHP en una carpeta p\u00fablica y luego ejecutarlo, lo cual es una ejecuci\u00f3n remota de c\u00f3digo no autenticado, el peor resultado que puede tener una falla web\u00bb.<\/p>\n<p>La vulnerabilidad fue descubierta por mySites.guru el 8 de julio de 2026, luego de un ataque en vivo a uno de sus clientes. Ha compartido los siguientes indicadores de compromiso:<\/p>\n<ul>\n<li>Busque en la carpeta de carga de Balbooa Forms (por defecto \u00abimages\/baforms\/uploads\u00bb) cualquier archivo que no sea una imagen o documento, especialmente cualquier archivo que termine en PHP.<\/li>\n<li>Consulte la lista de usuarios de Joomla para detectar cuentas de administrador sospechosas<\/li>\n<li>Audite el conjunto en busca de archivos PHP recientemente modificados o desconocidos en todo el sitio.<\/li>\n<\/ul>\n<p>A la luz de la explotaci\u00f3n activa, las agencias del Poder Ejecutivo Civil Federal (FCEB) tienen hasta el 13 de julio de 2026 para implementar las correcciones en sus redes.<\/p>\n<h3>Australia advierte sobre una campa\u00f1a global dirigida a sistemas CMS vulnerables<\/h3>\n<p>La divulgaci\u00f3n se produce cuando el Centro Australiano de Seguridad Cibern\u00e9tica (ACSC) emiti\u00f3 una alerta de una campa\u00f1a de explotaci\u00f3n global dirigida a varias vulnerabilidades en los sistemas de gesti\u00f3n de contenido (CMS) y complementos.<\/p>\n<p>\u00abComo parte de esta campa\u00f1a, los actores cibern\u00e9ticos maliciosos est\u00e1n escaneando activamente los sitios web en busca de oportunidades para implementar web shells, aprovechando varias vulnerabilidades que afectan el software y los complementos CMS\u00bb, dijo la agencia. <a href=\"https:\/\/www.cyber.gov.au\/about-us\/view-all-content\/alerts-and-advisories\/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms\" target=\"_blank\">dicho<\/a>. \u00abEstas vulnerabilidades permiten principalmente la carga de archivos no autenticados, la ejecuci\u00f3n remota de c\u00f3digo, la falsificaci\u00f3n o deserializaci\u00f3n de solicitudes del lado del servidor\u00bb.<\/p>\n<p>Una vez implementados, los web shells sirven como conductos para el acceso remoto y el control de los servidores web de destino. Algunas de las vulnerabilidades de seguridad identificadas se enumeran a continuaci\u00f3n:<\/p>\n<p>\u00abEsta campa\u00f1a de explotaci\u00f3n global a gran escala demuestra la r\u00e1pida evoluci\u00f3n del riesgo cibern\u00e9tico que enfrentan las organizaciones\u00bb, dijo ACSC, y agreg\u00f3 que \u00ablos avances en IA est\u00e1n acelerando la velocidad y la escala de las operaciones cibern\u00e9ticas, reduciendo el tiempo entre la divulgaci\u00f3n de vulnerabilidades y la explotaci\u00f3n\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado dos fallas de seguridad de m\u00e1xima gravedad que afectan las extensiones iCagenda y Balbooa para Joomla a sus vulnerabilidades explotadas conocidas (KEV) cat\u00e1logo, tras informes de explotaci\u00f3n de d\u00eda cero en la naturaleza. Las vulnerabilidades, ambas con una calificaci\u00f3n de 10.0 [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3700,146,86,24,495,717,729,2930,3699,3154,52,939],"class_list":["post-1509","post","type-post","status-publish","format-standard","hentry","category-noticias","category-trending","tag-balbooa","tag-cero","tag-como","tag-cyberdefensa-mx","tag-defectos","tag-dias","tag-explotan","tag-forms","tag-icagenda","tag-joomla","tag-los","tag-supuestamente"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1509","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1509"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1509\/revisions"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1509"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1509"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1509"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}