HTProtect.org
Uafhængig informationsside om sikkerhedssårbarheder i Joomla
DA
HTProtect HTProtect JOOMLA SECURITY
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
htprotect.org Sikkerhedssårbarheder & opdateringsguider
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
Sikkerhedssårbarhed

SP Page Builder: sikkerhedssårbarhed – opdater til 6.8.0

Kritisk Udnyttes aktivtCVE: Ikke oplyst i kildeartiklen
Handl nu
Opdater omgående SP Page Builder til 6.8.0 – zero-day-sårbarheden udnyttes aktivt.
Hent den sikre version Gå til opdateringstrinnene

Sikker version: SP Page Builder 6.8.0 – 6.6.2 er ikke længere nok · via JoomShaper (account required)

Kort fortalt

Berørt udvidelse
SP Page Builder – page builder-værktøj, komponenten com_sppagebuilder
Udvikler
JoomShaper
Sårbarhedstype
Filupload uden autentificering (funktionen asset.uploadCustomIcon kontrollerede hverken login eller filtype) → fjernudførelse af kode (Remote Code Execution, RCE)
Berørte versioner
Alle versioner til og med 6.7.1 (to sårbarheder: filupload til og med 6.6.1, SQL-injektion til og med 6.7.1)
Sikker version
SP Page Builder 6.8.0 – 6.6.2 er ikke længere nok   Hent
Alvorlighedsgrad
Kritisk · udnyttes aktivt
CVE
Ikke oplyst i kildeartiklen
Joomla-kompatibilitet
Joomla 4 / 5 / 6
Status / offentliggjort
Status pr. 16. juni 2026

Hvad handler det om?

SP Page Builder fra JoomShaper er et af de mest udbredte page builder-værktøjer til Joomla. Funktionen asset.uploadCustomIcon kontrollerede hverken login eller filtype. Derfor kunne skadelig kode uploades og køres uden login (Remote Code Execution).

Berørt er hele 6.x-serien til og med 6.7.1. Ud over filuploaden er der kommet endnu en sårbarhed af en helt anden type: en SQL-injektion uden login via »Indlæs mere«-endpointet (CVE-2026-65876), som gjorde det muligt at læse databasen. Den tidligere nødopdatering 6.6.2 lukkede kun uploadhullet; kun 6.8.0 er sikker. Sårbarheden er vurderet som en kritisk zero-day og udnyttes allerede aktivt.

Typiske spor efter et angreb: skjulte superbrugerkonti (f.eks. med e-mailadresser, der ender på @secure.local) samt flere PHP-bagdøre. Opdateringen lukker kun hoveddøren – eksisterende adgange bliver liggende, indtil de bliver fjernet. Det er ikke nok bare at deaktivere udvidelsen.

Er jeg berørt? – Sådan tjekker du det

  1. Åbn administrationen

    Log ind i Joomlas administration.

  2. Kontrollér versionen

    Åbn Udvidelser›Håndter›Håndter, og filtrer efter »SP Page Builder«.

  3. Vurder versionen

    Er versionen 6.7.1 eller lavere, er hjemmesiden sårbar. Kun 6.8.0 er sikker.

  4. Se efter tegn på indbrud

    Led efter superbrugere med adressen @secure.local og efter fremmede .php-filer (blandt andet under images/…/fonts/ og users.php i /media/).

Sådan lukker du sårbarheden

Før hver opdatering: tag en backup
Tag en backup af filer og database, før du opdaterer – så kan du rulle tilbage, hvis noget går galt (f.eks. med Akeeba Backup eller via dit webhotel).
  1. Åbn opdateringscenteret

    Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.

  2. Opdater SP Page Builder

    Markér posten, og opdater til 6.8.0 eller nyere.

  3. Kontrollér versionen

    Kontrollér, at mindst 6.8.0 nu er installeret.

Manuel installation (alternativ)
Alternativt henter du pakken på joomshaper.com og installerer den via Udvidelser›Håndter›Installer. Vigtigt: Gendan ikke gamle filer.
Hent den sikre version

Officiel kilde: via JoomShaper (account required). Sørg for at have mindst SP Page Builder 6.8.0 – 6.6.2 er ikke længere nok.

Er hjemmesiden allerede blevet hacket?

Udnyttes aktivt – en opdatering alene er ikke nok
Sårbarheden efterlader skjulte superbrugerkonti og flere PHP-bagdøre. Fjern dem målrettet, skift alle adgangskoder, og hærd upload-mapperne (f.eks. med en .htaccess, der blokerer for PHP-udførelse der). Det er ikke nok bare at deaktivere udvidelsen.

Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.

Kilder & mere information

Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.

Lignende sårbarheder

Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.

Helix3 FrameworkKritiskudnyttes aktivt
JoomShaperLæs mere
Helix UltimateKritisk
JoomShaperLæs mere
Astroid FrameworkKritiskudnyttes aktivt
TemPlazaLæs mere
Tilbage til alle sikkerhedssårbarheder
Støtter

Støtter af denne side

htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:

Hostingudbyder & community
FC-Hosting

Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.

fc-hosting.de
Initiativtager & drift
Website-Bereinigung.de

Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.

website-bereinigung.de

Støt dette projekt

Driver du en hosting- eller Joomla-tjeneste og vil gerne bakke op om htprotect.org – og stå opført her som støtte? Ethvert bidrag er med til at advare og beskytte de berørte hurtigere.

Vil du hellere give privat og uden at blive nævnt? Et lille bidrag til kaffekassen er lige så velkomment.

Støt HTProtect nu
Bauschild & Service

Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.

bauschildundservice.de
IT Specialista

Professionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.

defendersoft.cz
onlineweg.de

Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.

onlineweg.de
Criadero

Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.

criadero.de
Jahn EDV-Dienst GmbH

It-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.

jahnedv.de
IsariConsult

Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.

isari-consult.de