本月 Quix Page Builder（CVSS 8.7）和 Gridbox（9.3）接连曝出未认证 SQL 注入后，我们回查了 Joomla 生态内装机量最大的几个编辑器与页面构建器的漏洞记录。结果并不轻松：JCE 和 SP Page Builder——两个可能就装在你站点上的组件——今年都曾以 10.0 满分的 Critical 漏洞登上美国 CISA 的"已知被利用漏洞"（KEV）目录。本文把四个组件的 CVE 时间线、当前安全版本和自查方法整理成一份中文清单，建议今天就对照检查一遍。

四个 CVE 的复盘

JCE（Joomla Content Editor），CVE-2026-48907，CVSS 10.0。6 月 17 日披露：一个未认证远程代码执行漏洞，攻击者无需登录即可在服务器上运行代码，利用工具公开、真实攻击进行中，CISA 将其列入 KEV 并要求联邦机构限期修复。漏洞本体在 2.9.99.5 已关闭，此后官方持续加固，当前推荐版本为 2.9.99.9（7 月 8 日发布）。SP Page Builder，CVE-2026-48908，CVSS 10.0。7 月 8 日披露的零日漏洞且正被僵尸网络大规模自动化利用：处理自定义图标上传的管理端点既无鉴权也不限制文件类型，自动脚本直接写入 PHP webshell，随即创建以 @secure.local 结尾假邮箱命名的流氓超级管理员账户，并在图片目录深处播种后门。修复版本为 6.6.2，同样在 CISA KEV 目录。

Quix Page Builder，CVE-2026-58078，CVSS 8.7。本月初披露：前端 element 端点的 article id 参数未转数字直接进查询，error-based 注入可读取数据库任意表（密码哈希、API 密钥、订单数据）。目标修复版本 6.3.4。Gridbox，CVE-2026-102788 / 102789，CVSS 9.3。10 月 27 日发布 2.20.4.2 修复：列表排序参数注入 ORDER BY、外加一个完全没有权限检查的编辑器端点。修复版本 2.20.4.2。

四个案例的共性：攻击面之王

把这四个案例并排看，规律非常清晰：出事的都是"前端或低权限端点 + 权限检查缺失"。JCE 和 SP Page Builder 是无需登录的 RCE，Quix 和 Gridbox 是无需登录的数据读取——攻击者根本不需要碰你的登录页。编辑器和页面构建器恰好是 Joomla 扩展里攻击面最大的品类：它们暴露最多的 AJAX 端点（上传、预览、排序、编辑器数据加载），承担把用户输入翻译成文件操作和数据库查询的工作，又因为装机量巨大而成为自动化扫描的首选目标。JCE 和 SP Page Builder 上 CISA KEV 这件事值得单独强调：进入该目录意味着国家级规模的自动化攻击正在进行，"我的小站没人盯"在这个时代是幻觉。

中文站长自查清单

第一步，版本核查（今天做）：后台"系统-安装-扩展"逐一确认——JCE 不低于 2.9.99.9、SP Page Builder 不低于 6.6.2、Quix 不低于 6.3.4、Gridbox 不低于 2.20.4.2。低于这些版本，立即升级；SP Page Builder 用户注意官方明确说过"停用组件不等于堵住漏洞"。第二步，流氓账户审计：打开用户管理，按超级用户筛选，逐个核对邮箱——凡是以 @secure.local 结尾或来源不明的账户，立即删除。第三步，日志特征搜索：在访问日志里搜索 task=asset.uploadCustomIcon 和 /media/com_sppagebuilder/assets/iconfont/ 这两个特征串，命中即表明曾被攻击尝试。第四步，文件系统清理：检查 /images/、/media/ 及临时目录里近期新增或修改的 PHP 文件——webshell 不会自己消失，升级只是关上了门，屋里进了贼还得清屋。

总结

一个月内四个装机量最大的编辑器/构建器组件全部被翻出 Critical 漏洞，其中两个曾达到 CVSS 满分并被在野利用——这不是某个厂商的失败，而是一个品类的结构性写照。给中文站长两个行动结论：短期，今天把上面的版本核查表跑一遍；长期，选型时把 CVE 历史和响应记录作为与功能并列的硬指标。编辑器决定你写内容的手感，安全记录决定站点还能不能继续写。