Helix Ultimate – kritiske sikkerhedssårbarheder uden login
Sikker version: Helix Ultimate 2.2.8 eller nyere · free download via JoomShaper
Kort fortalt
Hvad handler det om?
Helix Ultimate er JoomShapers aktuelle skabelonframework – en skabelon sammen med et systemplugin. Det registrerer en AJAX-håndtering, som Joomla kører via standardendepunktet com_ajax også for besøgende, der slet ikke er logget ind. Før version 2.2.7 udførte flere af disse handlinger deres arbejde uden først at kontrollere login eller rettigheder.
Alvorligst er en skriveadgang til menuindstillingerne uden login: fordi menuindholdet ikke blev renset, før det blev vist, kan der permanent lægges skadeligt script ind, som derefter kører i de besøgendes browsere – og endda i administratorens session (lagret XSS). Dertil kommer en path traversal-sårbarhed, der gjorde det muligt at slette filer hvor som helst i Joomla-mappen, en åben omdirigering og en ubeskyttet skabeloneksport.
Rettelsen har været tilgængelig siden den 7. juli 2026 som Helix Ultimate 2.2.7; den genindfører de manglende kontroller af login og rettigheder i samtlige AJAX-handlinger, begrænser filstierne, validerer omdirigeringer og renser menuens output. Kort efter kom 2.2.8 med en mindre efterfølgende rettelse – opdater derfor direkte til 2.2.8 eller nyere. Da der hverken fandtes 2.2.5 eller 2.2.6, er alle ældre versioner berørt – mange installationer kører stadig 2.1-serien eller endda 1.1-serien. Der er indtil videre ikke tildelt noget CVE-nummer.
Er jeg berørt? – Sådan tjekker du det
- Åbn administrationen
Log ind i Joomlas administration (adressen slutter på
/administrator). - Gå til Udvidelser
Åbn Udvidelser›Håndter›Håndter, og filtrer efter
Helix Ultimate. - Aflæs versionen
Aflæs den installerede version. Er den lavere end 2.2.8, bør du opdatere – versioner før 2.2.7 er akut sårbare.
- Se efter spor
Gennemgå menuer og indstillingerne for megamenuen for links eller scripts, du ikke selv har lagt ind, og tjek brugerlisten for ukendte superbrugerkonti.
Sådan lukker du sårbarheden
- Åbn opdateringsoversigten
Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.
- Opdater alle Helix Ultimate-dele
Opdater hver eneste Helix Ultimate-post, der bliver tilbudt, til 2.2.8 eller nyere (systemplugin og skabelon, eventuelt også et installationsprogram til skabelonen) – ikke kun én af dem.
- Kontrollér resultatet
Kontrollér derefter, at der står 2.2.8 (eller nyere) alle steder.
Officiel kilde: free download via JoomShaper. Sørg for at have mindst Helix Ultimate 2.2.8 eller nyere.
Er hjemmesiden allerede blevet hacket?
.htaccess, index.html) stadig findes, og om indstillingerne for skabelonstilene er blevet ændret. Finder du noget: sikr først beviserne, rens derefter hele hjemmesiden, og skift alle adgangskoder og nøgler.Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.
Kilder & mere information
- Detaljeret analyse – Website-Bereinigung.deBaggrund og rensning
- Oprindelig sikkerhedsmeddelelse – mySites.guruSikkerhedsmeddelelsen, der bekræftede sårbarheden
- Joomla Vulnerable Extensions List (VEL)Community-drevet liste over sårbare udvidelser
Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.
Lignende sårbarheder
Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.
Støtter af denne side
htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:
Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.
fc-hosting.de
Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.
website-bereinigung.deStøt dette projekt
Driver du en hosting- eller Joomla-tjeneste og vil gerne bakke op om htprotect.org – og stå opført her som støtte? Ethvert bidrag er med til at advare og beskytte de berørte hurtigere.
Vil du hellere give privat og uden at blive nævnt? Et lille bidrag til kaffekassen er lige så velkomment.
Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.
bauschildundservice.deProfessionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.
defendersoft.cz
Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.
onlineweg.de
Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.
criadero.deIt-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.
jahnedv.de
Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.
isari-consult.de