HTProtect.org
Uafhængig informationsside om sikkerhedssårbarheder i Joomla
DA
HTProtect HTProtect JOOMLA SECURITY
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
htprotect.org Sikkerhedssårbarheder & opdateringsguider
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
Sikkerhedssårbarhed

AcyMailing – sikkerhedssårbarhed: SQL-injektion uden login

KritiskCVE-2026-56292
Handl nu
Opdatér AcyMailing til 10.11.1 eller nyere med det samme – har siden stået urettet i en periode, bør du desuden skifte alle adgangskoder.
Hent den sikre version Gå til opdateringstrinnene

Sikker version: AcyMailing 10.11.1 eller nyere · via AcyMailing

Kort fortalt

Berørt udvidelse
AcyMailing – nyhedsbrevskomponent (com_acym)
Udvikler
Acyba
Sårbarhedstype
SQL-injektion uden login via et offentligt frontend-endpoint; giver anonym læseadgang til vilkårlige databasetabeller (brugerkonti, hashede adgangskoder, indhold)
Berørte versioner
Versionerne 6.0.0 til og med 10.11.0
Sikker version
AcyMailing 10.11.1 eller nyere   Hent
Alvorlighedsgrad
Kritisk
CVE
CVE-2026-56292
Joomla-kompatibilitet
Joomla 3 / 4 / 5
Status / offentliggjort
Offentliggjort/rettet: 9. juli 2026

Hvad handler det om?

AcyMailing (com_acym) styrer nyhedsbreve og e-mailkampagner i Joomla. Et offentligt – altså uden login – tilgængeligt frontend-endpoint indsatte de medsendte parametre ufiltreret i en SQL-forespørgsel, så forespørgslen kunne manipuleres (SQL-injektion).

Ad den vej kan en angriber læse vilkårlige databasetabeller – for eksempel brugertabellen med logins og (hashede) adgangskoder, men også artikler og interne konfigurationsdata. Der er kun tale om læseadgang, men den blotlægger følsomme data og baner vejen for videre angreb, blandt andet forsøg på at knække de hashede adgangskoder.

Sårbare er versionerne 6.0.0 til og med 10.11.0. Rettelsen har været tilgængelig siden 9. juli 2026 som 10.11.1. Sårbarheden er registreret som CVE-2026-56292.

Er jeg berørt? – Sådan tjekker du det

  1. Åbn administrationen

    Log ind i Joomla-administrationen.

  2. Tjek versionen

    Under Udvidelser›Håndtér›Håndtér filtrerer du efter AcyMailing og aflæser versionsnummeret.

  3. Vurdér versionen

    Ligger versionen mellem 6.0.0 og 10.11.0, skal du handle. Sikker er 10.11.1 eller nyere.

  4. Vurdér risikoen

    En udlæsning efterlader næsten ingen synlige spor. Har siden kørt urettet i længere tid, bør du gå ud fra, at de hashede adgangskoder kan være hentet ud.

Sådan lukker du sårbarheden

Før hver opdatering: tag en backup
Tag en backup af filer og database, før du opdaterer – så kan du rulle tilbage, hvis noget går galt (f.eks. med Akeeba Backup eller via dit webhotel).
  1. Åbn opdateringscentret

    Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.

  2. Opdatér AcyMailing

    Markér posten, og opdatér til 10.11.1 eller nyere.

  3. Kontrollér versionen

    Bekræft derefter, at den nye version er taget i brug.

Manuel installation (alternativ)
Vises der ingen opdatering, kan du hente pakken på din AcyMailing-konto og installere den via Udvidelser›Håndtér›Installér.
Hent den sikre version

Officiel kilde: via AcyMailing. Sørg for at have mindst AcyMailing 10.11.1 eller nyere.

Er hjemmesiden allerede blevet hacket?

Data, der allerede er læst, henter ingen opdatering tilbage
Opdateringen lukker for yderligere adgang, men den gør ikke en udlæsning, der allerede har fundet sted, ugjort. Har hjemmesiden stået urettet i en periode, bør du for en sikkerheds skyld skifte alle adgangskoder (Joomla-brugere, især administratorer), afslutte aktive sessioner og – om muligt – generere Joomlas hemmelige nøgler på ny. Gennemgå desuden brugerlisten for ukendte konti.

Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.

Kilder & mere information

Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.

Lignende sårbarheder

Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.

SP Page BuilderKritiskudnyttes aktivt
JoomShaperLæs mere
Balbooa GridboxKritiskudnyttes aktivt
BalbooaLæs mere
Tilbage til alle sikkerhedssårbarheder
Støtter

Støtter af denne side

htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:

Hostingudbyder & community
FC-Hosting

Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.

fc-hosting.de
Initiativtager & drift
Website-Bereinigung.de

Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.

website-bereinigung.de

Støt dette projekt

Driver du en hosting- eller Joomla-tjeneste og vil gerne bakke op om htprotect.org – og stå opført her som støtte? Ethvert bidrag er med til at advare og beskytte de berørte hurtigere.

Vil du hellere give privat og uden at blive nævnt? Et lille bidrag til kaffekassen er lige så velkomment.

Støt HTProtect nu
Bauschild & Service

Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.

bauschildundservice.de
IT Specialista

Professionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.

defendersoft.cz
onlineweg.de

Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.

onlineweg.de
Criadero

Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.

criadero.de
Jahn EDV-Dienst GmbH

It-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.

jahnedv.de
IsariConsult

Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.

isari-consult.de
Schippelbein Mediengestaltung

Mediedesign fra Friedrichshafen – websteder med Joomla og WordPress, webshops, grafik og 3D.

schippelbein.com