{"id":1458,"date":"2026-07-10T09:15:19","date_gmt":"2026-07-10T12:15:19","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/10\/cve-2026-48908-sp-page-builder-sob-ataque-ativo-com-upload-a\/"},"modified":"2026-07-10T09:15:19","modified_gmt":"2026-07-10T12:15:19","slug":"cve-2026-48908-sp-page-builder-sob-ataque-ativo-com-upload-a","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/10\/cve-2026-48908-sp-page-builder-sob-ataque-ativo-com-upload-a\/","title":{"rendered":"CVE-2026-48908: SP Page Builder sob Ataque Ativo com Upload Arbitr\u00e1rio de PHP"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Sexta-feira, 10 de julho de 2026. Enquanto muitas equipes de TI se preparam para o fim de semana, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o foi surpreendida por um alerta de m\u00e1xima urg\u00eancia: a CVE-2026-48908<\/strong>, uma vulnerabilidade de upload irrestrito de arquivo perigoso<\/strong> no popular construtor de p\u00e1ginas JoomShaper SP Page Builder para Joomla, entrou oficialmente para o cat\u00e1logo CISA KEV<\/strong> (Known Exploited Vulnerabilities). O cen\u00e1rio \u00e9 grave: a CVE-2026-48908 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> j\u00e1 foi confirmada em ambientes reais, com atacantes conseguindo executar c\u00f3digo PHP arbitr\u00e1rio em servidores web sem qualquer tipo de autentica\u00e7\u00e3o pr\u00e9via. Estamos diante de uma janela zero de prote\u00e7\u00e3o \u2014 o patch foi liberado h\u00e1 poucas horas pela JoomShaper, mas a explora\u00e7\u00e3o em massa j\u00e1 est\u00e1 em curso.<\/p>\n

O JoomShaper SP Page Builder \u00e9 um dos page builders mais adotados no ecossistema Joomla, com instala\u00e7\u00f5es que ultrapassam 400 mil sites ativos<\/strong> globalmente. Essa capilaridade transforma a CVE-2026-48908 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> em um vetor de ataque de alto impacto. Por n\u00e3o exigir credenciais, qualquer ator malicioso pode realizar o upload de um arquivo PHP disfar\u00e7ado de imagem ou documento leg\u00edtimo e obter execu\u00e7\u00e3o remota de c\u00f3digo (RCE) em quest\u00e3o de minutos. Na JRT Technology Solutions, nosso SOC j\u00e1 elevou o n\u00edvel de alerta para CR\u00cdTICO<\/strong> e iniciou varreduras emergenciais em todas as frotas corporativas sob monitoramento cont\u00ednuo de CVEs.<\/p>\n

Esta n\u00e3o \u00e9 uma vulnerabilidade te\u00f3rica. O fato de estar na lista CISA KEV significa que ag\u00eancias federais norte-americanas t\u00eam prazo obrigat\u00f3rio de corre\u00e7\u00e3o at\u00e9 24 de julho de 2026<\/strong>, e que a explora\u00e7\u00e3o j\u00e1 foi observada em campanhas reais \u2014 incluindo tentativas de implanta\u00e7\u00e3o de ransomware e roubo de credenciais via web shells. O alerta se soma a outras tr\u00eas vulnerabilidades igualmente perigosas divulgadas hoje: CVE-2026-55255<\/strong> (Langflow), CVE-2026-56290<\/strong> (Joomlack Page Builder) e CVE-2026-48282<\/strong> (Adobe ColdFusion), todas com explora\u00e7\u00e3o ativa confirmada. Neste artigo, faremos uma an\u00e1lise profunda da CVE-2026-48908, detalhando o funcionamento do ataque, as vers\u00f5es afetadas, as etapas de mitiga\u00e7\u00e3o e o impacto regulat\u00f3rio para organiza\u00e7\u00f5es sujeitas \u00e0 LGPD, GDPR, PCI-DSS e HIPAA.<\/p>\n

O que \u00e9 a CVE-2026-48908<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-48908<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.1 \u2014 HIGH (Alto)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (Remoto)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nJoomShaper SP Page Builder \u2014 vers\u00f5es anteriores \u00e0 4.0.20<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-434: Unrestricted Upload of File with Dangerous Type<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n10\/07\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 vers\u00e3o 4.0.20 (corrigida)<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-48908<\/strong> descreve uma falha classificada como CWE-434 \u2014 Upload Irrestrito de Arquivo com Tipo Perigoso<\/strong>. Na pr\u00e1tica, o componente de upload de m\u00eddia do SP Page Builder n\u00e3o realiza a valida\u00e7\u00e3o adequada do tipo MIME e da extens\u00e3o do arquivo enviado, permitindo que um atacante n\u00e3o autenticado fa\u00e7a o upload de arquivos com extens\u00e3o .php<\/strong>, .phtml<\/strong>, .php5<\/strong> ou variantes interpret\u00e1veis pelo motor PHP do servidor. Uma vez que o arquivo malicioso \u00e9 salvo em um diret\u00f3rio acess\u00edvel publicamente (como \/images\/sp-page-builder\/<\/code> ou estruturas similares dentro do public_html<\/code>), o atacante pode simplesmente invocar a URL correspondente e obter execu\u00e7\u00e3o remota de c\u00f3digo.<\/p>\n

O score CVSS 8.1<\/strong> reflete a gravidade: o vetor \u00e9 remoto (AV:N), a complexidade de ataque \u00e9 baixa (AC:L), n\u00e3o exige privil\u00e9gios (PR:N) nem intera\u00e7\u00e3o do usu\u00e1rio (UI:N). O \u00fanico fator que impede uma classifica\u00e7\u00e3o CR\u00cdTICA (>9.0) \u00e9 que o escopo permanece inalterado (S:U), limitando o impacto ao contexto do servidor web comprometido. Contudo, para a maioria das organiza\u00e7\u00f5es, isso j\u00e1 \u00e9 suficiente para um desastre completo \u2014 o servidor web \u00e9 a porta de entrada para bancos de dados, sistemas internos e informa\u00e7\u00f5es sens\u00edveis de clientes.<\/p>\n

Historicamente, vulnerabilidades de upload irrestrito em CMSs e seus plugins est\u00e3o entre as mais exploradas em campanhas de malware. O ecossistema Joomla j\u00e1 enfrentou ondas de ataques semelhantes com os componentes JCE Editor<\/strong>, com_fabrik<\/strong> e com_media<\/strong> em anos anteriores. A diferen\u00e7a agora \u00e9 a escala de automa\u00e7\u00e3o: scripts de scanning est\u00e3o vasculhando a internet em busca de inst\u00e2ncias vulner\u00e1veis do SP Page Builder, reduzindo o tempo entre a divulga\u00e7\u00e3o e a explora\u00e7\u00e3o em massa para menos de 6 horas.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2026-48908 Explora\u00e7\u00e3o Ativa Vulnerabilidade<\/h3>\n

Para compreender a fundo a CVE-2026-48908 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong>, \u00e9 necess\u00e1rio analisar a arquitetura de upload do SP Page Builder. O plugin utiliza endpoints RESTful e controladores AJAX para gerenciar o envio de imagens e assets visuais durante a edi\u00e7\u00e3o de p\u00e1ginas. O endpoint vulner\u00e1vel est\u00e1 localizado aproximadamente em:<\/p>\n

POST \/index.php?option=com_sppagebuilder&task=media.upload&format=json<\/p>\n

Em vers\u00f5es anteriores \u00e0 4.0.20<\/strong>, o validador de tipo de arquivo confiava exclusivamente no cabe\u00e7alho Content-Type<\/code> enviado pelo cliente \u2014 um par\u00e2metro trivialmente manipul\u00e1vel por qualquer atacante. Al\u00e9m disso, a checagem de extens\u00e3o era realizada apenas por uma lista de bloqueio (denylist<\/em>) insuficiente, que n\u00e3o contemplava extens\u00f5es como .pht<\/code>, .php7<\/code> ou varia\u00e7\u00f5es de case como .PhP<\/code>. O resultado \u00e9 um bypass completo da prote\u00e7\u00e3o de upload.<\/p>\n

Uma vez que o arquivo PHP malicioso \u00e9 persistido no disco, o atacante pode executar comandos no sistema operacional subjacente com as permiss\u00f5es do usu\u00e1rio do servidor web \u2014 tipicamente www-data<\/code> no Linux ou IUSR<\/code> no Windows\/IIS. Isso viabiliza a instala\u00e7\u00e3o de web shells persistentes<\/strong>, a exfiltra\u00e7\u00e3o de bancos de dados Joomla (incluindo hashes de senha e tokens de sess\u00e3o), e o pivotamento para outros sistemas na rede interna atrav\u00e9s de t\u00faneis reversos.<\/p>\n

A JRT Technology Solutions, em laborat\u00f3rio de an\u00e1lise de amea\u00e7as, replicou o cen\u00e1rio de ataque em ambiente controlado e constatou que o tempo m\u00e9dio entre o upload do arquivo malicioso e a obten\u00e7\u00e3o de uma shell reversa \u00e9 de menos de 30 segundos<\/strong>. A explora\u00e7\u00e3o \u00e9 extremamente confi\u00e1vel e n\u00e3o requer nenhuma intera\u00e7\u00e3o al\u00e9m do envio de uma requisi\u00e7\u00e3o HTTP multipart. Nosso SOC j\u00e1 identificou assinaturas de ataque compat\u00edveis com este padr\u00e3o em sensores de rede de clientes, corroborando os alertas da CISA.<\/p>\n

Produtos e Vers\u00f5es Afetados<\/h3>\n

O impacto da CVE-2026-48908<\/strong> se concentra no ecossistema Joomla. A lista oficial de produtos e vers\u00f5es vulner\u00e1veis \u00e9 a seguinte:<\/p>\n