HTProtect.org
Web independiente sobre vulnerabilidades de seguridad en Joomla
ES
HTProtect HTProtect JOOMLA SECURITY
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
htprotect.org Vulnerabilidades & guías de actualización
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
Vulnerabilidad de seguridad

SP Page Builder: zero-day RCE crítico en explotación activa

Crítica Explotada activamenteCVE: No se menciona en el artículo original
Actúa ahora
Actualiza SP Page Builder a la 6.6.2 de inmediato: el zero-day está en explotación activa.
Descargar la versión segura Ir a los pasos de actualización

Versión segura: SP Page Builder 6.6.2 (actualización de emergencia) · via JoomShaper (account required)

De un vistazo

Extensión afectada
SP Page Builder – constructor de páginas, componente com_sppagebuilder
Desarrollador
JoomShaper
Tipo de vulnerabilidad
Subida de archivos sin autenticación (la función asset.uploadCustomIcon no comprobaba ni el inicio de sesión ni el tipo de archivo) → ejecución remota de código (RCE)
Versiones afectadas
Toda la serie 6.x hasta la 6.6.1 incluida
Versión segura
SP Page Builder 6.6.2 (actualización de emergencia)   Descargar
Gravedad
Crítica · explotada activamente
CVE
No se menciona en el artículo original
Compatibilidad con Joomla
Joomla 4 / 5 / 6
Actualizado / publicado
Actualizado: 16 de junio de 2026

¿De qué se trata?

SP Page Builder, de JoomShaper, es uno de los constructores de páginas más extendidos en Joomla. La función asset.uploadCustomIcon no comprobaba ni el inicio de sesión ni el tipo de archivo. Eso permitía subir y ejecutar código malicioso sin estar autenticado (ejecución remota de código, RCE).

Está afectada toda la serie 6.x hasta la 6.6.1 incluida. La actualización de emergencia 6.6.2 cierra el agujero. El fallo está clasificado como zero-day crítico y ya se está explotando de forma activa.

Rastros típicos de un ataque: cuentas de superusuario ocultas (por ejemplo, con direcciones de correo terminadas en @secure.local) y varias puertas traseras en PHP. La actualización solo cierra la puerta de entrada: los accesos ya creados siguen ahí hasta que se eliminan. Desactivar la extensión, por sí solo, no protege.

¿Me afecta? – Cómo comprobarlo

  1. Abre el backend

    Inicia sesión en el administrador de Joomla.

  2. Comprueba la versión

    Abre Extensiones›Gestionar›Gestionar y filtra por «SP Page Builder».

  3. Evalúa la versión

    Si la versión es la 6.6.1 o anterior, tu web es vulnerable. La versión segura es la 6.6.2.

  4. Busca indicios de intrusión

    Revisa si hay superusuarios con direcciones @secure.local y archivos .php ajenos (entre otros, en images/…/fonts/ y un users.php dentro de /media/).

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad
Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).
  1. Abre el centro de actualizaciones

    Ve a Sistema›Actualizar›Extensiones y pulsa Buscar actualizaciones.

  2. Actualiza SP Page Builder

    Selecciona la entrada y actualiza a la 6.6.2.

  3. Verifica la versión

    Comprueba que ahora está instalada la 6.6.2.

Instalación manual (alternativa)
Otra opción es descargar el paquete desde joomshaper.com e instalarlo desde Extensiones›Gestionar›Instalar. Importante: no restaures archivos antiguos.
Descargar la versión segura

Descarga oficial: via JoomShaper (account required). Asegúrate de tener al menos SP Page Builder 6.6.2 (actualización de emergencia).

¿Han atacado ya tu web?

En explotación activa: actualizar no basta
La vulnerabilidad deja tras de sí cuentas de superusuario ocultas y varias puertas traseras en PHP. Elimínalas una a una, cambia todas las contraseñas y protege las carpetas de subida (por ejemplo, con un .htaccess que impida ahí la ejecución de PHP). Desactivar la extensión, por sí solo, no protege.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Volver a todas las vulnerabilidades
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de