HTProtect.org
Nezávislý informační web o bezpečnostních zranitelnostech v Joomle
CS
HTProtect HTProtect JOOMLA SECURITY
Novinka htprotect.app - Centrální správa více webů na Joomle
htprotect.org Zranitelnosti & návody k aktualizaci
Novinka htprotect.app - Centrální správa více webů na Joomle
Bezpečnostní zranitelnost

Astroid Framework – kritická bezpečnostní zranitelnost

Kritická Aktivně zneužívánaCVE-2026-21628
Jednejte neprodleně
Aktualizujte Astroid na verzi 3.3.13 nebo novější – a pokud máte podezření na napadení, web navíc vyčistěte.
Stáhnout bezpečnou verzi Přejít na postup aktualizace

Bezpečná verze: Astroid 3.3.13 nebo novější · direct download (GitHub, open source)

Stručný přehled

Dotčené rozšíření
Astroid Framework (framework pro šablony)
Výrobce
TemPlaza
Typ zranitelnosti
Nahrání souboru bez přihlášení → vzdálené spuštění kódu (RCE); zneužívá CSRF token z veřejné přihlašovací stránky
Dotčené verze
Astroid 2.0.0 až 3.3.10
Bezpečná verze
Astroid 3.3.13 nebo novější   Stáhnout
Závažnost
Kritická · aktivně zneužívána
CVE
CVE-2026-21628
Kompatibilita s Joomlou
Joomla 4 / 5 / 6
Stav / zveřejněno
Stav k 11. březnu 2026

O co jde?

Astroid Framework je základem mnoha šablon pro Joomlu. Zranitelnost umožňuje útočníkům nahrávat soubory na server bez přihlášení. Zneužívají k tomu CSRF token, který lze přečíst na veřejně dostupné přihlašovací stránce. V nejhorším případě tak lze na serveru spustit libovolný kód (Remote Code Execution).

Zranitelné jsou verze 2.0.0 až 3.3.10. Chyba je evidována pod identifikátorem CVE-2026-21628. Opravena byla ve verzi 3.3.11; doporučujeme aktualizovat na 3.3.13 nebo novější.

Důležité: pokud už k útoku došlo, samotná aktualizace nestačí. V praxi se přes tzv. droppery (např. blp_9948.php) doinstalovávaly pluginy s backdoorem, jako BLPayload nebo JCachePro – ty na webu zůstanou i po aktualizaci.

Týká se to i mého webu? – Jak to zjistíte

  1. Otevřete administraci

    Přihlaste se do administrace Joomly.

  2. Zkontrolujte verzi Astroidu

    Nainstalovanou verzi najdete v sekci šablon (Systém›Šablony) nebo v Rozšíření›Správa›Správa, kde si seznam vyfiltrujete podle názvu „Astroid“.

  3. Vyhodnoťte verzi

    Pokud je verze v rozmezí 2.0.0 až 3.3.10, je nutné jednat neprodleně.

  4. Pátrejte po backdoorech

    Prohlédněte adresář /plugins/system/ a hledejte podezřelé položky jako BLPayload nebo JCachePro a soubory odpovídající vzoru blp_*.php.

Jak zranitelnost odstranit

Před každou aktualizací: zálohujte
Zálohujte soubory i databázi ještě před aktualizací – v případě problémů se tak snadno vrátíte zpět (např. pomocí Akeeba Backup nebo u svého poskytovatele hostingu).
  1. Otevřete centrum aktualizací

    Přejděte do Systém›Aktualizace›Rozšíření a klikněte na Vyhledat aktualizace.

  2. Aktualizujte Astroid

    Označte položku Astroid a aktualizujte ji na verzi 3.3.13 nebo novější.

  3. Ověřte verzi

    Nakonec se ujistěte, že se nová verze skutečně nainstalovala.

Ruční instalace (alternativa)
Balíček si můžete také stáhnout ve svém účtu Astroid/TemPlaza a nainstalovat jej přes Rozšíření›Správa›Instalace.
Stáhnout bezpečnou verzi

Oficiální zdroj: direct download (GitHub, open source). Ujistěte se, že máte alespoň Astroid 3.3.13 nebo novější.

Byl už web napadený?

Po napadení samotná aktualizace nestačí
Aktualizace automaticky neodstraní škodlivý kód, který už je nainstalovaný. Všímejte si pluginů BLPayload/JCachePro a dropperů (blp_*.php). Nutné je pak: kompletní vyčištění webu, změna všech hesel (administrátor Joomly, FTP/SSH, databáze) a kontrola webu v Google Search Console.

Potřebujete pomoc s vyčištěním webu? Vhodné odborníky najdete v katalogu poskytovatelů služeb Joomla.

Zdroje & další odkazy

Vždy platí oficiální informace příslušného výrobce. Tato stránka neutrálně shrnuje veřejně dostupné informace.

Zpět na přehled všech zranitelností
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de