HTProtect.org
Web independiente sobre vulnerabilidades de seguridad en Joomla
ES
HTProtect HTProtect JOOMLA SECURITY
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
htprotect.org Vulnerabilidades & guías de actualización
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
Vulnerabilidad de seguridad

SP Page Builder: zero-day RCE crítico en explotación activa

Crítica Explotada activamenteCVE: No se menciona en el artículo original
Actúa ahora
Actualiza SP Page Builder a la 6.8.0 de inmediato: el zero-day está en explotación activa.
Descargar la versión segura Ir a los pasos de actualización

Versión segura: SP Page Builder 6.8.0 - la 6.6.2 ya no basta · via JoomShaper (account required)

De un vistazo

Extensión afectada
SP Page Builder – constructor de páginas, componente com_sppagebuilder
Desarrollador
JoomShaper
Tipo de vulnerabilidad
Subida de archivos sin autenticación (la función asset.uploadCustomIcon no comprobaba ni el inicio de sesión ni el tipo de archivo) → ejecución remota de código (RCE)
Versiones afectadas
Todas las versiones hasta la 6.7.1 incluida (dos fallos: subida de archivos hasta la 6.6.1, inyección SQL hasta la 6.7.1)
Versión segura
SP Page Builder 6.8.0 - la 6.6.2 ya no basta   Descargar
Gravedad
Crítica · explotada activamente
CVE
No se menciona en el artículo original
Compatibilidad con Joomla
Joomla 4 / 5 / 6
Actualizado / publicado
Actualizado: 16 de junio de 2026

¿De qué se trata?

SP Page Builder, de JoomShaper, es uno de los constructores de páginas más extendidos en Joomla. La función asset.uploadCustomIcon no comprobaba ni el inicio de sesión ni el tipo de archivo. Eso permitía subir y ejecutar código malicioso sin estar autenticado (ejecución remota de código, RCE).

Está afectada toda la serie 6.x hasta la 6.7.1 incluida. A la subida de archivos se ha sumado un segundo fallo, distinto: una inyección SQL sin autenticación a través del endpoint de «cargar más» (CVE-2026-65876), que permitía leer la base de datos. La actualización de emergencia anterior, la 6.6.2, solo cerró el fallo de subida; la única versión segura es la 6.8.0. El fallo está clasificado como zero-day crítico y ya se está explotando de forma activa.

Rastros típicos de un ataque: cuentas de superusuario ocultas (por ejemplo, con direcciones de correo terminadas en @secure.local) y varias puertas traseras en PHP. La actualización solo cierra la puerta de entrada: los accesos ya creados siguen ahí hasta que se eliminan. Desactivar la extensión, por sí solo, no protege.

¿Me afecta? – Cómo comprobarlo

  1. Abre el backend

    Inicia sesión en el administrador de Joomla.

  2. Comprueba la versión

    Abre Extensiones›Gestionar›Gestionar y filtra por «SP Page Builder».

  3. Evalúa la versión

    Si la versión es la 6.7.1 o anterior, tu web es vulnerable. La única versión segura es la 6.8.0.

  4. Busca indicios de intrusión

    Revisa si hay superusuarios con direcciones @secure.local y archivos .php ajenos (entre otros, en images/…/fonts/ y un users.php dentro de /media/).

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad
Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).
  1. Abre el centro de actualizaciones

    Ve a Sistema›Actualizar›Extensiones y pulsa Buscar actualizaciones.

  2. Actualiza SP Page Builder

    Selecciona la entrada y actualiza a la 6.8.0 o posterior.

  3. Verifica la versión

    Comprueba que ahora está instalada al menos la 6.8.0.

Instalación manual (alternativa)
Otra opción es descargar el paquete desde joomshaper.com e instalarlo desde Extensiones›Gestionar›Instalar. Importante: no restaures archivos antiguos.
Descargar la versión segura

Descarga oficial: via JoomShaper (account required). Asegúrate de tener al menos SP Page Builder 6.8.0 - la 6.6.2 ya no basta.

¿Han atacado ya tu web?

En explotación activa: actualizar no basta
La vulnerabilidad deja tras de sí cuentas de superusuario ocultas y varias puertas traseras en PHP. Elimínalas una a una, cambia todas las contraseñas y protege las carpetas de subida (por ejemplo, con un .htaccess que impida ahí la ejecución de PHP). Desactivar la extensión, por sí solo, no protege.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Vulnerabilidades relacionadas

Otras extensiones con vulnerabilidades similares. Comprueba si alguna de ellas está instalada en tu web.

Helix3 FrameworkCríticaexplotada activamente
JoomShaperMás información
Helix UltimateCrítica
JoomShaperMás información
Astroid FrameworkCríticaexplotada activamente
TemPlazaMás información
Volver a todas las vulnerabilidades
Colaboradores

Colaboradores de esta web

htprotect.org es un servicio de información gratuito e independiente de cualquier desarrollador. Cuenta con el apoyo de:

Hosting & comunidad
FC-Hosting

Proveedor de hosting para Joomla en Alemania, con soporte activo a la comunidad – detectó el primer ataque contra la vulnerabilidad de JCE.

fc-hosting.de
Impulsor & responsable
Website-Bereinigung.de

Especializada en la limpieza, el mantenimiento y la protección de webs Joomla y WordPress.

website-bereinigung.de

Apoya este proyecto

¿Tienes un servicio de hosting o de Joomla y quieres apoyar htprotect.org – y aparecer aquí como colaborador? Cada aportación ayuda a avisar y a proteger antes a los afectados.

¿Prefieres colaborar en privado, sin aparecer mencionado? Una pequeña aportación al bote del café nos alegra igual.

Apoya HTProtect ahora
Bauschild & Service

Fabricación y montaje de carteles de obra, vallas de obra y soluciones de fachada – incluidos el diseño y la visualización en 3D.

bauschildundservice.de
IT Specialista

Soporte informático profesional desde Chequia – gestión de Windows, administración de dominios y alojamiento web.

defendersoft.cz
onlineweg.de

Portal de viajes de Alemania – viajes combinados, hoteles y vuelos en línea, con asesoramiento personal de agencia de viajes.

onlineweg.de
Criadero

Agencia creativa de Brandeburgo – diseño web, medios impresos, fotografía y panorámicas de 360° de un solo proveedor.

criadero.de
Jahn EDV-Dienst GmbH

Proveedor de servicios informáticos de Wächtersbach – webs Joomla, servicio técnico de PC, hardware y software.

jahnedv.de
IsariConsult

Consultoría de seguridad de la información de Berlín – análisis de seguridad, gestión de riesgos e ISO 27001 para pymes.

isari-consult.de