BHACKING | Protección Corporativa para PyMEs Mexicanas

3 de julio de 2026

Si tu empresa tiene un sitio web construido con Joomla, necesitas actuar hoy mismo. Dos vulnerabilidades críticas con la puntuación máxima posible de CVSS 10.0 están siendo explotadas activamente por bots automatizados que escanean internet en busca de sitios vulnerables. Los atacantes no necesitan contraseñas ni credenciales: simplemente suben archivos maliciosos y toman control total de tu servidor.

¿Qué son CVE-2026-48907 y CVE-2026-48908?

Estas dos vulnerabilidades afectan a extensiones ampliamente utilizadas en sitios Joomla:

CVE-2026-48907 afecta a JCE Editor (Joomla Content Editor), uno de los editores de texto más populares del ecosistema Joomla. El fallo permite a cualquier persona, sin estar registrada ni autenticada, subir archivos PHP maliciosos (webshells) al servidor. Una vez instalado el webshell, el atacante tiene acceso completo al servidor: puede robar datos, modificar contenido, instalar ransomware o usar el servidor para atacar a terceros. Esta vulnerabilidad fue añadida al catálogo KEV (Known Exploited Vulnerabilities) de CISA el 16 de junio de 2026.

CVE-2026-48908 afecta a SP Page Builder, una herramienta de construcción de páginas muy utilizada. A diferencia de JCE, esta vulnerabilidad fue explotada como zero-day: los ataques comenzaron el mismo día que se publicó el parche, sin dar tiempo a los administradores de reaccionar.

¿Cómo funcionan los ataques?

Los ciberdelincuentes utilizan bots automatizados que escanean millones de sitios web buscando las rutas específicas vulnerables. El proceso es alarmantemente simple:

1El bot detecta que el sitio usa JCE o SP Page Builder sin actualizar
2Envía una solicitud HTTP especialmente diseñada para subir un archivo PHP malicioso
3El archivo queda alojado en directorios de imágenes o medios del sitio
4El atacante ejecuta comandos remotamente desde ese archivo

Señales de que tu sitio ya fue comprometido

Perfiles de editor no reconocidos en JCE
Archivos `.php` en carpetas de imágenes (`/images/`, `/media/`)
Carpetas con nombres aleatorios en `/media/com_sppagebuilder/assets/iconfont/`
Cuentas de Super Administrador no autorizadas, frecuentemente con correos `@secure.local`
Actividad inusual en los logs del servidor

Impacto en PyMEs mexicanas

Para una PyME mexicana, un sitio web comprometido puede significar:

Pérdida de datos de clientes: información personal, correos, historial de compras
Daño reputacional: Google puede marcar el sitio como peligroso, alejando clientes
Multas por incumplimiento: la LFPDPPP (Ley Federal de Protección de Datos Personales) exige proteger los datos de clientes
Uso del servidor para ataques: tu empresa podría ser señalada como fuente de spam o ataques DDoS
Pérdida de posicionamiento SEO: Google penaliza sitios comprometidos

Versiones afectadas y solución

JCE Editor: actualizar a la versión 2.9.99.7 o superior
SP Page Builder: actualizar a la versión 6.6.2 o superior

⚠️ Importante: Actualizar la extensión NO elimina los archivos maliciosos que ya pudieron haber sido instalados. Si tu sitio estuvo expuesto, es necesario hacer una auditoría completa.

Recomendaciones

Actualiza inmediatamente JCE Editor y SP Page Builder a las versiones más recientes desde el panel de administración de Joomla
Audita tu servidor: revisa manualmente las carpetas `/images/`, `/media/` y `/tmp/` en busca de archivos `.php` sospechosos
Verifica las cuentas de administrador: elimina cualquier cuenta no reconocida, especialmente las con dominios `@secure.local`
Implementa un WAF (Web Application Firewall): herramientas como Wazuh pueden detectar y bloquear intentos de subida de archivos maliciosos en tiempo real
Activa monitoreo de integridad de archivos: configura alertas cuando se creen o modifiquen archivos en directorios de medios
Aplica la regla 3-2-1 de respaldos: mantén tres copias de tu sitio, en dos medios distintos, con una copia fuera de línea
Restringe la ejecución de PHP en carpetas de medios mediante reglas en `.htaccess`