SP Page Builder: κρίσιμη ευπάθεια zero-day υπό εκμετάλλευση
Ασφαλής έκδοση: SP Page Builder 6.8.0 – η 6.6.2 δεν αρκεί πλέον · via JoomShaper (account required)
Με μια ματιά
com_sppagebuilderasset.uploadCustomIcon δεν έλεγχε ούτε τη σύνδεση ούτε τον τύπο του αρχείου) → απομακρυσμένη εκτέλεση κώδικα (RCE)Περί τίνος πρόκειται;
Το SP Page Builder της JoomShaper είναι ένα από τα πιο διαδεδομένα εργαλεία δόμησης σελίδων για το Joomla. Η συνάρτηση asset.uploadCustomIcon δεν έλεγχε ούτε τη σύνδεση του χρήστη ούτε τον τύπο του αρχείου. Έτσι ήταν δυνατή η μεταφόρτωση και η εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση (Remote Code Execution).
Επηρεάζεται ολόκληρη η σειρά 6.x έως και η έκδοση 6.7.1. Πέρα από τη μεταφόρτωση αρχείων προστέθηκε μια δεύτερη, διαφορετική ευπάθεια: SQL injection χωρίς σύνδεση μέσω του endpoint «Φόρτωση περισσότερων» (CVE-2026-65876), που επέτρεπε την ανάγνωση της βάσης δεδομένων. Η προηγούμενη ενημέρωση έκτακτης ανάγκης 6.6.2 έκλεισε μόνο τη μεταφόρτωση· ασφαλής είναι μόνο η 6.8.0. Η ευπάθεια χαρακτηρίζεται κρίσιμη zero-day και αξιοποιείται ήδη ενεργά.
Τυπικά ίχνη μιας επίθεσης: κρυφοί λογαριασμοί Υπερχρήστη (π.χ. με διευθύνσεις e-mail που καταλήγουν σε @secure.local) καθώς και πολλαπλά PHP backdoors. Η ενημέρωση κλείνει μόνο την εξώπορτα – όσες προσβάσεις έχουν ήδη δημιουργηθεί παραμένουν μέχρι να αφαιρεθούν. Η απλή απενεργοποίηση της επέκτασης δεν προσφέρει προστασία.
Επηρεάζεται ο ιστότοπός μου; – Πώς θα το ελέγξετε
- Ανοίξτε τη διαχείριση
Συνδεθείτε στην περιοχή διαχείρισης του Joomla.
- Ελέγξτε την έκδοση
Ανοίξτε Επεκτάσεις›Διαχείριση›Διαχείριση και φιλτράρετε με τον όρο «SP Page Builder».
- Αξιολογήστε την έκδοση
Αν η έκδοση είναι 6.7.1 ή παλαιότερη, ο ιστότοπος είναι ευάλωτος. Ασφαλής είναι μόνο η 6.8.0.
- Αναζητήστε ίχνη παραβίασης
Ελέγξτε αν υπάρχουν Υπερχρήστες με διεύθυνση
@secure.local, καθώς και άγνωστα αρχεία.php(μεταξύ άλλων στοimages/…/fonts/και το αρχείοusers.phpστο/media/).
Πώς θα κλείσετε την ευπάθεια
- Ανοίξτε το κέντρο ενημερώσεων
Μεταβείτε στο Σύστημα›Ενημέρωση›Επεκτάσεις και πατήστε Έλεγχος για Ενημερώσεις.
- Ενημερώστε το SP Page Builder
Επιλέξτε την καταχώριση και ενημερώστε στην 6.8.0 ή σε νεότερη.
- Επαληθεύστε την έκδοση
Βεβαιωθείτε ότι είναι πλέον εγκατεστημένη τουλάχιστον η 6.8.0.
Επίσημη πηγή λήψης: via JoomShaper (account required). Βεβαιωθείτε ότι έχετε τουλάχιστον την έκδοση SP Page Builder 6.8.0 – η 6.6.2 δεν αρκεί πλέον.
Έχει ήδη δεχθεί επίθεση ο ιστότοπος;
.htaccess που εμποδίζει εκεί την εκτέλεση PHP). Η απλή απενεργοποίηση της επέκτασης δεν προσφέρει προστασία.Χρειάζεστε βοήθεια με τον καθαρισμό; Βρείτε εξειδικευμένους επαγγελματίες στον Κατάλογο Παρόχων Υπηρεσιών Joomla.
Πηγές & χρήσιμοι σύνδεσμοι
- Λεπτομερής ανάλυση – Website-Bereinigung.deΊχνη επίθεσης, θωράκιση, καθαρισμός
- JoomShaper (κατασκευαστής)Λήψη της ασφαλούς έκδοσης 6.8.0
Υπερισχύουν πάντα τα επίσημα στοιχεία του εκάστοτε κατασκευαστή. Η σελίδα αυτή συνοψίζει ουδέτερα τις δημόσια διαθέσιμες πληροφορίες.
Παρόμοιες ευπάθειες
Άλλες επεκτάσεις με παρόμοιες αδυναμίες ασφαλείας. Ελέγξτε αν κάποια από αυτές είναι εγκατεστημένη στον ιστότοπό σας.
Υποστηρικτές αυτού του ιστότοπου
Το htprotect.org είναι μια δωρεάν, ανεξάρτητη από κατασκευαστές ενημερωτική υπηρεσία. Υποστηρίζεται από:
Πάροχος φιλοξενίας Joomla από τη Γερμανία με ενεργή υποστήριξη από την κοινότητα – εντόπισε την πρώτη επίθεση στην ευπάθεια του JCE.
fc-hosting.de
Εξειδικεύεται στον καθαρισμό, τη συντήρηση και τη θωράκιση ιστότοπων Joomla και WordPress.
website-bereinigung.deΥποστηρίξτε αυτό το έργο
Παρέχετε υπηρεσίες φιλοξενίας ή Joomla και θέλετε να στηρίξετε το htprotect.org – και να εμφανίζεστε εδώ ως υποστηρικτής; Κάθε συνεισφορά βοηθά ώστε όσοι επηρεάζονται να ειδοποιούνται και να προστατεύονται πιο γρήγορα.
Προτιμάτε να συνεισφέρετε διακριτικά, χωρίς αναφορά του ονόματός σας; Μια μικρή προσφορά στον κουμπαρά είναι εξίσου ευπρόσδεκτη.
Κατασκευή και τοποθέτηση εργοταξιακών πινακίδων, περιφράξεων εργοταξίου και λύσεων πρόσοψης – μαζί με σχεδιασμό και τρισδιάστατη απεικόνιση.
bauschildundservice.deΕπαγγελματική υποστήριξη IT από την Τσεχία – διαχείριση Windows, διαχείριση domain και φιλοξενία ιστοσελίδων.
defendersoft.cz
Ταξιδιωτική πύλη από τη Γερμανία – οργανωμένα ταξίδια, ξενοδοχεία και αεροπορικά εισιτήρια online, με προσωπική εξυπηρέτηση ταξιδιωτικού γραφείου.
onlineweg.de
Δημιουργικό γραφείο από το Βρανδεμβούργο – σχεδιασμός ιστοσελίδων, έντυπα, φωτογραφία και πανοράματα 360°, όλα από έναν συνεργάτη.
criadero.deΠάροχος υπηρεσιών IT από το Wächtersbach – ιστοσελίδες Joomla, τεχνική υποστήριξη υπολογιστών, hardware και software.
jahnedv.de
Συμβουλευτική για την ασφάλεια πληροφοριών από το Βερολίνο – αναλύσεις ασφαλείας, διαχείριση κινδύνων και ISO 27001 για μικρομεσαίες επιχειρήσεις.
isari-consult.de