HTProtect.org
Web independiente sobre vulnerabilidades de seguridad en Joomla
ES
HTProtect HTProtect JOOMLA SECURITY
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
htprotect.org Vulnerabilidades & guías de actualización
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
Vulnerabilidad de seguridad

Astroid Framework: fallo crítico de RCE (subida de archivos)

Crítica Explotada activamenteCVE-2026-21628
Actúa ahora
Actualiza Astroid a 3.3.13 o superior; si sospechas que la web está comprometida, además tendrás que limpiarla.
Descargar la versión segura Ir a los pasos de actualización

Versión segura: Astroid 3.3.13 o superior · direct download (GitHub, open source)

De un vistazo

Extensión afectada
Astroid Framework (framework de plantillas)
Desarrollador
TemPlaza
Tipo de vulnerabilidad
Subida de archivos sin autenticación → ejecución remota de código (RCE); aprovecha un token CSRF de la página pública de inicio de sesión
Versiones afectadas
Astroid 2.0.0 a 3.3.10
Versión segura
Astroid 3.3.13 o superior   Descargar
Gravedad
Crítica · explotada activamente
CVE
CVE-2026-21628
Compatibilidad con Joomla
Joomla 4 / 5 / 6
Actualizado / publicado
Actualizado: 11 de marzo de 2026

¿De qué se trata?

El Astroid Framework es la base de numerosas plantillas de Joomla. La vulnerabilidad permite a los atacantes subir archivos al servidor sin autenticarse. Para ello se aprovecha un token CSRF que puede leerse en la página de inicio de sesión, accesible públicamente. En el peor de los casos, esto permite ejecutar código de forma remota (Remote Code Execution).

Son vulnerables las versiones 2.0.0 a 3.3.10. El fallo está registrado como CVE-2026-21628. Se corrigió a partir de la versión 3.3.11, aunque se recomienda actualizar a la 3.3.13 o superior.

Importante: si el ataque ya se ha producido, actualizar la versión no basta. En la práctica se han utilizado los llamados archivos dropper (por ejemplo, blp_9948.php) para instalar después plugins de puerta trasera como BLPayload o JCachePro, que siguen ahí aunque actualices.

¿Me afecta? – Cómo comprobarlo

  1. Abre el backend

    Inicia sesión en el administrador de Joomla.

  2. Comprueba la versión de Astroid

    Encontrarás la versión instalada en el área de plantillas (Sistema›Plantillas) o en Extensiones›Gestionar›Gestionar, filtrando por «Astroid».

  3. Evalúa la versión

    Si la versión está entre la 2.0.0 y la 3.3.10, hay que actuar de inmediato.

  4. Busca puertas traseras

    Revisa /plugins/system/ en busca de entradas sospechosas como BLPayload o JCachePro, así como de archivos que sigan el patrón blp_*.php.

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad
Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).
  1. Abre el centro de actualizaciones

    Ve a Sistema›Actualizar›Extensiones y pulsa Buscar actualizaciones.

  2. Actualiza Astroid

    Selecciona la entrada de Astroid y actualiza a la 3.3.13 o superior.

  3. Verifica la versión

    Después, comprueba que la nueva versión se ha aplicado correctamente.

Instalación manual (alternativa)
Como alternativa, descarga el paquete desde tu cuenta de Astroid/TemPlaza e instálalo desde Extensiones›Gestionar›Instalar.
Descargar la versión segura

Descarga oficial: direct download (GitHub, open source). Asegúrate de tener al menos Astroid 3.3.13 o superior.

¿Han atacado ya tu web?

Si la web está comprometida, actualizar no basta
Las actualizaciones no eliminan por sí solas el código malicioso ya instalado. Presta atención a plugins como BLPayload/JCachePro y a archivos dropper (blp_*.php). En ese caso hay que hacer una limpieza completa, cambiar todas las contraseñas (administrador de Joomla, FTP/SSH, base de datos) y revisar el estado del sitio en Google Search Console.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Volver a todas las vulnerabilidades
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de