Quattro estensioni di Joomla sotto attacco: i siti delle PMI da aggiornare adesso

Nel giro di pochi giorni, tra l’8 e il 10 luglio, l’agenzia di cybersicurezza statunitense CISA ha inserito nel suo catalogo delle falle “note e attivamente sfruttate” quattro estensioni di Joomla, uno dei sistemi di gestione dei contenuti (CMS) più usati al mondo dopo WordPress. Tutte e quattro hanno il punteggio di gravità massimo possibile: 10.0. E per due di esse gli attacchi erano già in corso prima ancora che uscisse la correzione.

Non il cuore di Joomla, ma le estensioni che ci costruisci sopra

Il dettaglio importante per chi ha un piccolo sito aziendale è questo: la falla non è nel motore di Joomla, ma in estensioni di terze parti molto diffuse — quelle con cui il sito è stato materialmente costruito e messo online. Nell’ordine:

• SP Page Builder di JoomShaper (CVE-2026-48908), uno dei costruttori di pagine “a blocchi” più usati per realizzare siti Joomla senza scrivere codice;
• Page Builder CK di Joomlack (CVE-2026-56290), un altro popolare costruttore di pagine;
• iCagenda (CVE-2026-48939), l’estensione per calendari e registrazione a eventi;
• Balbooa Forms (CVE-2026-56291), un generatore di moduli di contatto.

Il meccanismo è lo stesso in tutti e quattro i casi: un caricamento di file non controllato (arbitrary file upload). In pratica un visitatore qualsiasi, senza password né account valido, può caricare un file — per esempio uno script PHP travestito da allegato — ed eseguirlo sul server. Il risultato tipico è l’installazione di una web shell, cioè una porta di servizio nascosta che consegna all’attaccante il controllo del sito, in modo persistente anche dopo.

10.0

Gravità di tutte e quattro le falle (CVSS, su un massimo di 10)

SP Page Builder, Page Builder CK, iCagenda e Balbooa Forms: punteggio massimo perché sfruttabili da remoto, senza autenticazione, con pieno controllo del sito come conseguenza.

Fonte: CISA KEV, The Hacker News, BleepingComputer — luglio 2026

Due erano già sotto attacco come “zero-day”

Per iCagenda e Balbooa Forms non si parla di rischio teorico: sono state sfruttate come zero-day, cioè attaccate prima che esistesse una patch.

Balbooa Forms è la più recente: la falla accettava file da visitatori non autenticati senza alcun controllo sul tipo di file, ed è stata sfruttata a partire dall’8 luglio, un giorno prima che uscisse la correzione (versione 2.4.1, rilasciata il 9 luglio). iCagenda era invece sotto attacco automatizzato addirittura dal 15 giugno; è corretta nelle versioni 4.0.8 e 3.9.15.

Il 10 luglio CISA ha aggiunto entrambe al catalogo, con scadenza per l’aggiornamento delle agenzie federali americane fissata al 13 luglio. La direttiva vincola solo gli enti pubblici USA, ma la presenza in quel catalogo è, per tutti gli altri, il segnale più affidabile che una falla è davvero usata negli attacchi reali.

Le versioni sicure, estensione per estensione

iCagenda: aggiornare alla 4.0.8 o 3.9.15. Balbooa Forms: alla 2.4.1. Per SP Page Builder e Page Builder CK: installare l'ultima versione disponibile dell'estensione. Un Joomla 'aggiornato' non basta se le estensioni sono rimaste indietro.

Perché è il bersaglio perfetto per una piccola impresa

Il sito vetrina di molte PMI ha una storia ricorrente: costruito qualche anno fa da un’agenzia o da un consulente esterno con un page builder come questi, pubblicato, e da allora mai più toccato. Anche quando qualcuno aggiorna Joomla, le singole estensioni restano spesso ferme alla versione di allora — ed è lì che si apre la porta.

Non serve un dipendente che clicca su un’email sbagliata: basta che il sito sia raggiungibile da internet (cioè sempre) e che una di queste estensioni sia rimasta vecchia. Le conseguenze concrete vanno dal defacement (il sito modificato o sostituito) all’uso del server per diffondere malware ai visitatori, fino al furto dei dati raccolti dai form di contatto.

Cosa fare, in concreto

Non serve essere tecnici. Se hai un sito in Joomla, le mosse minime sono tre.

• Controlla se usi una di queste estensioni. Nel pannello di amministrazione, alla voce delle estensioni, verifica la presenza di SP Page Builder, Page Builder CK, iCagenda o Balbooa Forms e con quale versione. Se hai un page builder, quasi certamente ne usi almeno uno.
• Aggiorna, o fai aggiornare chi gestisce il sito. Porta iCagenda alla 4.0.8/3.9.15, Balbooa Forms alla 2.4.1, e page builder ed estensioni all’ultima versione disponibile. Se non te ne occupi tu, scrivi oggi all’agenzia o al tecnico chiedendo esplicitamente l’aggiornamento.
• Verifica che non sia già entrato qualcuno. Chi gestisce il sito può controllare le cartelle dove queste estensioni salvano gli allegati — per iCagenda images/icagenda/frontend/attachments/, per Balbooa Forms images/baforms/uploads/ — cercando file PHP o comunque non previsti, e controllare l’elenco degli utenti amministratori alla ricerca di account sospetti.

In breve

Tra l’8 e il 10 luglio CISA ha segnalato quattro estensioni Joomla di gravità massima (CVSS 10.0) già sfruttate per prendere il controllo dei siti: SP Page Builder (CVE-2026-48908), Page Builder CK (CVE-2026-56290), iCagenda (CVE-2026-48939) e Balbooa Forms (CVE-2026-56291). Le correzioni esistono già. Se hai un sito Joomla, la cosa che ti separa dal rischio è una verifica di pochi minuti sulle estensioni installate. Aggiornare ora è la priorità.