Vulnerabilidad crítica en JCTables de Joomla: SQL injection sin autenticación

Qué es y a quién afecta

La National Vulnerability Database (NVD) del NIST ha publicado el CVE-2026-76570, un fallo de seguridad que afecta a JCTables, extensión desarrollada por joomcode para sitios web hechos con Joomla. El problema se clasifica como CWE-89, es decir, inyección SQL.

Según la descripción oficial, el controlador de la API CRUD del front-end de la extensión no valida el token de Joomla ni realiza ninguna comprobación de autenticación en ninguna de sus tareas. Los nombres de tabla, los nombres de columna y los valores se toman directamente de los parámetros de la petición y se concatenan en las consultas SQL. El resultado es una inyección SQL que permite tanto leer como escribir en la base de datos sin necesidad de estar autenticado.

Las versiones afectadas, según la NVD, son todas las de joomcode jc_tables hasta la 1.21.1 (sin incluir). La gravedad asignada es máxima: CVSS 4.0 de 10 (CRITICAL), con un vector que refleja que el ataque se puede lanzar por red, sin privilegios previos y sin interacción del usuario.

Esto afecta de forma directa a pymes, comercios online y empresas españolas que hayan instalado JCTables en su web Joomla: tiendas, catálogos, portales corporativos o intranets que gestionen datos de clientes, pedidos o contenidos. Si tu web usa esta extensión y no está actualizada, está expuesta.

Por qué es urgente

Conviene ser precisos: este CVE no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando en ataques reales. Eso no significa que se pueda ignorar. Una inyección SQL sin autenticación es una de las vulnerabilidades más peligrosas que existen, porque:

• No requiere credenciales. Cualquier atacante que localice la extensión puede intentar explotarla desde internet.
• Permite leer y escribir. No se limita a extraer datos: también puede modificar registros, lo que abre la puerta a manipulación de contenidos, alteración de pedidos o persistencia de código malicioso.
• La superficie de ataque es amplia. Al estar en el front-end, no depende de acceder al panel de administración de Joomla.
• La puntuación CVSS 10 no deja margen: impacto alto en confidencialidad, integridad y disponibilidad.

En un contexto en el que los sitios Joomla, WordPress y PrestaShop son objetivos habituales de bots automatizados que rastrean extensiones vulnerables, una exposición de este tipo debería tratarse como prioritaria aunque no haya explotación confirmada.

Qué hacer hoy

Si gestionas una web con Joomla, estos pasos son aplicables de inmediato:

• Comprueba si tienes JCTables instalado. Revisa el listado de extensiones de tu Joomla y anota la versión exacta. Si la versión es anterior a la 1.21.1, estás dentro del rango afectado.
• Aplica la actualización o mitigación que indique el aviso del fabricante. La NVD no detalla en el material disponible qué versión corrige el fallo, así que consulta la información oficial de joomcode y aplica lo que corresponda. Si no hay actualización disponible, valora desactivar la extensión hasta que exista.
• Revisa indicios de intrusión. Busca accesos extraños en los registros del servidor, consultas SQL anómalas, cambios inesperados en la base de datos o ficheros modificados. Una inyección SQL de escritura puede dejar rastro en logs y en el propio contenido.
• Reduce lo expuesto a internet. Limita el acceso a paneles de administración por IP, revisa permisos de base de datos y aplica el principio de mínimo privilegio. Si la extensión no es imprescindible, desinstálala.
• Haz copia de seguridad antes de tocar nada. Cualquier actualización o limpieza debe ir precedida de un backup verificado.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Cataluña y del resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT reducido. En casos como este, nuestro enfoque es detectar y cerrar vulnerabilidades antes de que las exploten.

Concretamente, podemos auditar la instalación de Joomla y sus extensiones para identificar versiones afectadas por CVE como el 2026-76570, aplicar hardening en el servidor y en la propia aplicación, ejecutar pentesting para comprobar si la inyección SQL es explotable en tu entorno concreto, y establecer monitorización y respuesta a incidentes para detectar actividad sospechosa a tiempo.

También nos ocupamos del mantenimiento y actualización continuada de Joomla, WordPress y PrestaShop, y de la reparación de webs hackeadas cuando el daño ya se ha producido. Todo ello alineado con el RGPD y la LOPDGDD, porque una brecha en la base de datos puede tener consecuencias legales además de técnicas. La clave no es solo parchear: es saber qué tienes instalado, qué está expuesto y qué hacer cuando algo falla.

Relacionado

• Abuse Shield

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.