Vulnerabilitat de seguretat

AcyMailing: injecció SQL sense autenticació a Joomla

CríticaCVE-2026-56292

Actua ara

Actualitza AcyMailing immediatament a la 10.11.1 o superior – i si el lloc web ha estat un temps sense actualitzar, canvia també totes les contrasenyes.

Baixa la versió segura Ves als passos d'actualització

Versió segura: AcyMailing 10.11.1 o superior · via AcyMailing

D'un cop d'ull

Extensió afectada

AcyMailing – component de butlletins (com_acym)

Desenvolupador

Acyba

Tipus de vulnerabilitat

Injecció SQL sense autenticació a través d'un endpoint públic del frontend; permet llegir de manera anònima qualsevol taula de la base de dades (comptes d'usuari, hash de contrasenyes, continguts)

Versions afectades

Versions 6.0.0 a 10.11.0 (inclosa)

Versió segura

AcyMailing 10.11.1 o superior Baixa

Gravetat

Crítica

CVE

CVE-2026-56292

Compatibilitat amb Joomla

Joomla 3 / 4 / 5

Actualitzat / publicat

Publicat/corregit: 9 de juliol de 2026

De què es tracta?

AcyMailing (com_acym) gestiona els butlletins i les campanyes de correu electrònic a Joomla. Un endpoint del frontend accessible públicament —és a dir, sense cap inici de sessió— inseria els paràmetres rebuts sense filtrar dins d'una consulta SQL, de manera que la consulta es podia manipular (injecció SQL).

Per aquesta via, un atacant pot llegir qualsevol taula de la base de dades: per exemple, la taula d'usuaris amb els noms d'inici de sessió i les contrasenyes (desades com a hash), però també els articles i les dades de configuració internes. És un accés només de lectura, però deixa al descobert informació sensible i prepara el terreny per a atacs posteriors, com ara trencar els hash de les contrasenyes.

Són vulnerables les versions 6.0.0 a 10.11.0, aquesta inclosa. La correcció està disponible des del 9 de juliol de 2026 com a 10.11.1. La vulnerabilitat està registrada amb l'identificador CVE-2026-56292.

M'afecta a mi? – Com comprovar-ho

Obre el backend
Inicia la sessió a l'administrador de Joomla.
Comprova la versió
A Extensions›Gestiona›Gestiona, filtra per AcyMailing i mira quina versió tens instal·lada.
Valora la versió
Si la versió es troba entre la 6.0.0 i la 10.11.0, cal actuar. La versió segura és la 10.11.1 o superior.
Avalua el risc
Una lectura de dades gairebé no deixa rastre. Si el lloc web ha estat molt de temps sense actualitzar, dona per fet que els hash de les contrasenyes poden haver-se filtrat.

Com solucionar la vulnerabilitat

Abans de cada actualització: fes una còpia de seguretat

Fes una còpia de seguretat dels fitxers i de la base de dades abans d'actualitzar: així podràs tornar enrere si alguna cosa falla (per exemple, amb Akeeba Backup o des del teu proveïdor d'allotjament).

Obre el centre d'actualitzacions
Vés a Sistema›Actualitza›Extensions i fes clic a Cerca actualitzacions.
Actualitza AcyMailing
Selecciona l'entrada i actualitza a la 10.11.1 o superior.
Verifica la versió
Després, comprova que la versió nova s'ha aplicat correctament.

Instal·lació manual (alternativa)

Si no apareix cap actualització, baixa el paquet des del teu compte d'AcyMailing i instal·la'l a Extensions›Gestiona›Instal·la.

Baixa la versió segura

Descàrrega oficial: via AcyMailing. Assegura't de tenir com a mínim AcyMailing 10.11.1 o superior.

Ja han atacat el teu lloc web?

Cap actualització no recupera les dades que ja s'han llegit

L'actualització atura els accessos futurs, però no desfà una lectura que ja s'ha produït. Si el lloc web ha estat un temps sense actualitzar, canvia per precaució totes les contrasenyes (usuaris de Joomla, sobretot els administradors), tanca les sessions obertes i, si és possible, torna a generar les claus secretes de Joomla. Revisa també la llista d'usuaris per si hi ha comptes desconeguts.

Necessites ajuda amb la neteja? Trobaràs professionals qualificats al Directori de proveïdors de serveis de Joomla.

Fonts & més informació

Avís original – mySites.guruAvís de seguretat amb els detalls tècnics
AcyMailing / Acyba (desenvolupador)Obtén l'actualització amb l'actualitzador de Joomla o des del teu compte d'AcyMailing
CVE-2026-56292 (CVE.org)Registre oficial del CVE
Joomla Vulnerable Extensions List (VEL)Llista d'extensions vulnerables mantinguda per la comunitat

Sempre preval la informació oficial de cada desenvolupador. Aquesta pàgina resumeix de manera neutral informació disponible públicament.

Torna a totes les vulnerabilitats

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de