HTProtect.org
Web independent sobre vulnerabilitats de seguretat de Joomla
CA
HTProtect HTProtect JOOMLA SECURITY
Nou htprotect.app - Gestió centralitzada de diversos llocs Joomla
htprotect.org Vulnerabilitats & guies d'actualització
Nou htprotect.app - Gestió centralitzada de diversos llocs Joomla
Vulnerabilitat de seguretat

Astroid Framework: vulnerabilitat crítica RCE a Joomla

Crítica Explotada activamentCVE-2026-21628
Actua ara
Actualitza Astroid a la 3.3.13 o superior i, si sospites que el lloc web està compromès, neteja'l a fons.
Baixa la versió segura Ves als passos d'actualització

Versió segura: Astroid 3.3.13 o superior · direct download (GitHub, open source)

D'un cop d'ull

Extensió afectada
Astroid Framework (framework de plantilles)
Desenvolupador
TemPlaza
Tipus de vulnerabilitat
Pujada de fitxers sense autenticació → execució remota de codi (RCE); aprofita un token CSRF de la pàgina pública d'inici de sessió
Versions afectades
Astroid 2.0.0 a 3.3.10
Versió segura
Astroid 3.3.13 o superior   Baixa
Gravetat
Crítica · explotada activament
CVE
CVE-2026-21628
Compatibilitat amb Joomla
Joomla 4 / 5 / 6
Actualitzat / publicat
Actualitzat: 11 de març de 2026

De què es tracta?

L'Astroid Framework és la base de nombroses plantilles de Joomla. La vulnerabilitat permet als atacants pujar fitxers al servidor sense autenticar-se. Per fer-ho, s'aprofita un token CSRF que es pot llegir a la pàgina d'inici de sessió, accessible públicament. En el pitjor dels casos, això permet executar codi de manera remota (Remote Code Execution).

Són vulnerables les versions 2.0.0 a 3.3.10. La vulnerabilitat està registrada amb l'identificador CVE-2026-21628. Es va corregir a partir de la versió 3.3.11, tot i que es recomana actualitzar a la 3.3.13 o superior.

Important: si l'atac ja s'ha produït, no n'hi ha prou amb actualitzar la versió. A la pràctica, s'han fet servir els anomenats fitxers dropper (per exemple, blp_9948.php) per instal·lar després connectors de porta del darrere com ara BLPayload o JCachePro, que continuen al lloc web encara que actualitzis.

M'afecta a mi? – Com comprovar-ho

  1. Obre el backend

    Inicia la sessió a l'administrador de Joomla.

  2. Comprova la versió d'Astroid

    Trobaràs la versió instal·lada a l'àrea de plantilles (Sistema›Plantilles) o bé a Extensions›Gestiona›Gestiona, filtrant per «Astroid».

  3. Valora la versió

    Si la versió es troba entre la 2.0.0 i la 3.3.10, cal actuar immediatament.

  4. Busca portes del darrere

    Revisa /plugins/system/ per detectar entrades sospitoses com ara BLPayload o JCachePro, i també fitxers que segueixin el patró blp_*.php.

Com solucionar la vulnerabilitat

Abans de cada actualització: fes una còpia de seguretat
Fes una còpia de seguretat dels fitxers i de la base de dades abans d'actualitzar: així podràs tornar enrere si alguna cosa falla (per exemple, amb Akeeba Backup o des del teu proveïdor d'allotjament).
  1. Obre el centre d'actualitzacions

    Vés a Sistema›Actualitza›Extensions i fes clic a Cerca actualitzacions.

  2. Actualitza Astroid

    Selecciona l'entrada d'Astroid i actualitza a la 3.3.13 o superior.

  3. Verifica la versió

    Després, comprova que la versió nova s'ha aplicat correctament.

Instal·lació manual (alternativa)
Com a alternativa, baixa el paquet des del teu compte d'Astroid/TemPlaza i instal·la'l des d'Extensions›Gestiona›Instal·la.
Baixa la versió segura

Descàrrega oficial: direct download (GitHub, open source). Assegura't de tenir com a mínim Astroid 3.3.13 o superior.

Ja han atacat el teu lloc web?

Si el lloc web està compromès, actualitzar no n'hi ha prou
Les actualitzacions no eliminen automàticament el codi maliciós que ja s'ha instal·lat. Vigila si hi ha connectors com ara BLPayload/JCachePro i fitxers dropper (blp_*.php). En aquest cas cal fer una neteja completa, canviar totes les contrasenyes (administrador de Joomla, FTP/SSH, base de dades) i revisar l'estat del lloc a Google Search Console.

Necessites ajuda amb la neteja? Trobaràs professionals qualificats al Directori de proveïdors de serveis de Joomla.

Fonts & més informació

Sempre preval la informació oficial de cada desenvolupador. Aquesta pàgina resumeix de manera neutral informació disponible públicament.

Vulnerabilitats similars

Altres extensions amb vulnerabilitats semblants. Comprova si en tens alguna instal·lada al teu lloc web.

Helix3 FrameworkCríticaexplotada activament
JoomShaperMés informació
JCE EditorCríticaexplotada activament
JoomlaContentEditorMés informació
SP Page BuilderCríticaexplotada activament
JoomShaperMés informació
Torna a totes les vulnerabilitats
Col·laboradors

Col·laboradors d'aquest lloc web

htprotect.org és un servei d'informació gratuït i independent de qualsevol desenvolupador. Compta amb el suport de:

Allotjament & comunitat
FC-Hosting

Proveïdor d'allotjament Joomla d'Alemanya amb suport actiu a la comunitat – va detectar el primer atac contra la vulnerabilitat de JCE.

fc-hosting.de
Impulsor & responsable
Website-Bereinigung.de

Especialitzada en la neteja, el manteniment i la protecció de llocs web Joomla i WordPress.

website-bereinigung.de

Dona suport a aquest projecte

Ofereixes serveis d'allotjament o de Joomla i vols donar suport a htprotect.org – i aparèixer aquí com a col·laborador? Cada aportació ajuda a avisar i a protegir més de pressa els afectats.

Prefereixes col·laborar en privat, sense aparèixer a la llista? Una petita aportació a la guardiola del cafè ens fa la mateixa il·lusió.

Dona suport a HTProtect ara
Bauschild & Service

Fabricació i muntatge de cartells d'obra, tanques d'obra i solucions de façana – amb disseny i visualització en 3D inclosos.

bauschildundservice.de
IT Specialista

Suport informàtic professional des de Txèquia – gestió de Windows, administració de dominis i allotjament web.

defendersoft.cz
onlineweg.de

Portal de viatges d'Alemanya – viatges combinats, hotels i vols en línia, amb assessorament personal d'agència de viatges.

onlineweg.de
Criadero

Agència creativa de Brandenburg – disseny web, mitjans impresos, fotografia i panoràmiques de 360° d'un sol proveïdor.

criadero.de
Jahn EDV-Dienst GmbH

Proveïdor de serveis informàtics de Wächtersbach – llocs web Joomla, servei tècnic de PC, maquinari i programari.

jahnedv.de
IsariConsult

Consultoria de seguretat de la informació de Berlín – anàlisis de seguretat, gestió de riscos i ISO 27001 per a pimes.

isari-consult.de