htprotect.org kokoaa yhteen suosittujen Joomla-laajennusten ja -frameworkien ajankohtaiset, kriittiset tietoturva-aukot – asiallisesti, maksutta ja vaihe vaiheelta etenevin ohjein, joita myös aloittelija pystyy seuraamaan. Tavoite: varoittaa nopeasti kaikkia, joita asia koskee, ja auttaa paikkaamaan aukot.
Kymmenen ajankohtaista, kriittiseksi luokiteltua aukkoa. Tarkista asennetut versiot – jokaisesta kohdasta löydät tiedot ja ohjeet.
Jokainen aukko lyhyesti – yksi klikkaus vie yksityiskohtaiseen ohjeeseen, joka on kirjoitettu aloittelijalle.
JoomShaperin Helix3-sivupohjakehyksen AJAX-liitännäisestä on löytynyt useita vakavia tietoturva-aukkoja – muun muassa tiedostojen kirjoittaminen ja poistaminen sekä PHP-koodin lataaminen palvelimelle ilman kirjautumista. Aukot koskevat kaikkia versioita ennen versiota 3.1.1; korjaus on saatavilla Joomlan tavallisen päivitystoiminnon kautta (tällä hetkellä 3.1.2). Huomaa: Helix3 ei ole sama asia kuin uudempi Helix Ultimate.
JoomShaperin sivupohjakehys Helix Ultimate suorittaa AJAX-käsittelijän myös kirjautumattomille kävijöille. Ennen versiota 2.2.7 useat toiminnot tekivät työnsä ilman minkäänlaista kirjautumisen tai käyttöoikeuksien tarkistusta – vakavin niistä on kirjoitusoikeus valikoihin, jonka kautta sivustolle voi istuttaa pysyvästi haitallista skriptiä (tallennettu XSS). Lisäksi mukana on tiedostojen poisto path traversal -aukon kautta, avoin uudelleenohjaus ja suojaamaton sivupohjan vienti. Kaikki versiot ennen 2.2.7 ovat haavoittuvia; korjaus on saatavilla Joomlan päivitystoiminnon kautta (tällä hetkellä 2.2.8). Huomaa: Helix Ultimate ei ole sama asia kuin Helix3.
Laajalti käytetyssä Astroid Frameworkissa on kriittinen haavoittuvuus, jonka avulla tiedostoja voi ladata palvelimelle täysin ilman kirjautumista – ja pahimmillaan suorittaa haitallista koodia (RCE). Haavoittuvia ovat versiot 2.0.0–3.3.10; korjaus tuli versiossa 3.3.11, mutta suositeltava versio on 3.3.13 tai uudempi (CVE-2026-21628). Murretuilla sivustoilla näkyy usein ujutettuja liitännäisiä, kuten ”BLPayload” tai ”JCachePro”.
Tassos Framework (entinen Novarain) pyörii huomaamatta monen suositun laajennuksen, kuten Convert Formsin ja EngageBoxin, taustalla. Ilman tunnistautumista tehtävät AJAX-kutsut antavat pääsyn tiedostoihin ja tietokantaan – aukko on luokiteltu kriittiseksi arvolla CVSS 9.5, ja siihen on olemassa julkinen exploit-työkalu (CVE-2026-21627). Riittää, että päivität yhden Tassos-laajennuksen: framework nousee samalla automaattisesti turvalliseen versioon (6.0.62+).
JCE on yksi Joomlan käytetyimmistä editoreista. Puutteellisen pääsynvalvonnan vuoksi hyökkääjä pystyi ilman kirjautumista lataamaan editoriprofiileja ja tuomaan niiden avulla palvelimelle mitä tahansa tiedostoja – aukkoa hyödynnetään jo aktiivisesti webshellien asentamiseen. Haavoittuvia ovat kaikki versiot ennen versiota 2.9.99.5 (sekä Free että Pro) riippumatta siitä, onko rekisteröityminen käytössä. Turvallinen versio on 2.9.99.5, mieluummin sen jälkeen julkaistu 2.9.99.6.
iCagenda on suosittu tapahtumakalenteri Joomlaan. Tapahtumien lähetyslomakkeesta puuttui todellinen kirjautumisen tarkistus, joten myös kirjautumattomat kävijät pystyivät luomaan tapahtumia – vaikka lomake oli tarkoitettu vain rekisteröityneille käyttäjille. Joomla 6:ssa (6.0.0–6.1.1) tästä tulee kriittinen haavoittuvuus, jonka kautta palvelimelle voi ladata tiedostoja (CVE-2026-48939). Haavoittuvia ovat iCagendan versiot 3.2.1–4.0.7; korjaus on versiossa 4.0.8 (Joomla 3:ssa versiossa 3.9.15).
SP Page Builder on yksi Joomlan käytetyimmistä sivunrakentajista. Mukautettujen kuvakkeiden lataustoiminto ei tarkistanut kirjautumista eikä tiedostotyyppiä – tämän zero-day-haavoittuvuuden avulla palvelimella pystyi suorittamaan haitallista koodia (RCE) ilman kirjautumista. Sen rinnalle on tullut toinen haavoittuvuus: ilman kirjautumista tehtävä SQL-injektio, joka koskee versioita 6.7.1 asti. Turvallinen versio on vasta 6.8.0. Haavoittuvuutta hyödynnetään jo aktiivisesti, ja hyökkäykset jättävät jälkeensä piilotettuja pääkäyttäjätilejä ja takaovia.
Balbooa Forms on Joomlan yleisesti käytetty lomaketyökalu. Lomakkeiden tiedostolataus ottaa tiedostoja vastaan ilman minkäänlaista kirjautumista – tarkistamatta suojaustokenia tai tiedostotyyppiä. Näin hyökkääjä pystyy tallentamaan suoritettavan PHP-tiedoston julkisesti saavutettavaan kansioon ja ajamaan sen (koodin etäsuoritus). Sen rinnalle on tullut toinen haavoittuvuus: PHP-koodin ujuttaminen ilman kirjautumista (CVE-2026-67364, vakavuusaste 10/10), joka koskee versioita 2.4.3.1 asti. Turvallinen versio on vasta 2.4.3.2. Haavoittuvuutta hyödynnetään jo aktiivisesti hyökkäyksissä.
AcyMailing on laajalti käytetty uutiskirjekomponentti Joomlalle. Sivuston julkisella puolella oli päätepiste, joka vei pyynnön parametrit tietokantakyselyyn ilman tarkistusta. Niinpä kirjautumaton kävijä pystyi lukemaan minkä tahansa taulun – myös käyttäjätilit salasanatiivisteineen ja sivuston sisällön (SQL-injektio). Haavoittuvia ovat versiot 6.0.0–10.11.0; korjattu versiosta 10.11.1 alkaen (CVE-2026-56292).
Page Builder CK on laajalti käytetty Joomlan sivunrakentaja, josta on myös maksuton versio. Sen lataustoiminto ei tarkistanut kirjautumista eikä tiedostotyyppiä – niinpä palvelimelle pystyi viemään suoritettavan tiedoston ilman tunnuksia ja ottamaan koneen haltuun. Älä sekoita tätä JoomShaperin SP Page Builderiin: se on eri tuote, jossa on oma aukkonsa.
Balbooa Gridbox on Joomlan sivunrakentaja. Versiot 2.20.1 ja sitä vanhemmat sisältävät useita vakavia tietoturva-aukkoja – hyökkääjä pystyi muun muassa luomaan ylläpitäjätilin ilman minkäänlaista kirjautumista, nollaamaan toisten käyttäjien salasanoja tai kaappaamaan tilejä. Jos päivität vasta nyt, etsi sivustolta myös ujutettuja tilejä.
RSFiles! on Joomlan tiedosto- ja lataushallinta. Sivuston julkisella puolella olevan lataustoiminnon pystyi käynnistämään ilman kirjautumista, eikä se tarkistanut turvatokenia sen enempää kuin tiedostotyyppiäkään. Niinpä PHP-tiedosto voi päätyä julkisesti saavutettavaan hakemistoon ja käynnistyä siellä (koodin suoritus etänä). Haavoittuvia ovat kaikki versiot 1.17.11 asti; päivitys 1.17.12 tukkii aukon.
Lähes kaikki tällä sivulla kuvatut aukot suljetaan samalla tavalla: Joomlan päivityskeskuksen kautta. Tämä yleisohje on kirjoitettu aloittelijalle:
Avaa Joomlan ylläpito (verkkotunnuksesi perään /administrator) ja kirjaudu sisään.
Siirry kohtaan Järjestelmä›Päivitys›Laajennukset ja napsauta Tarkista päivitykset.
Valitse listalta se laajennus, jota aukko koskee, ja napsauta Päivitä. Joomla lataa ja asentaa uuden version automaattisesti.
Tarkista lopuksi asennettu versionumero (komponentista tai kohdasta Laajennukset›Hallitse) ja vertaa sitä kyseisen aukon lisätietosivulla ilmoitettuun turvalliseen versioon.
Päivitys sulkee aukon, mutta se ei poista jo ujutettua haitallista koodia. Jos jokin näyttää oudolta, puhdistuta sivusto ammattilaisella – esimerkiksi asiantuntijalla, jonka löydät hakemistosta Joomla Service Providers Directory – ja vaihda kaikki salasanat.
HTProtect
Moni tällä sivulla listattu aukko noudattaa samaa kaavaa: tiedostojen lataus palvelimelle ilman tunnistautumista. Juuri siihen HTProtect puuttuu – se on Joomlan lisäsuojakerros, joka samalla auttaa pitämään laajennukset ajan tasalla.
.htaccess ei koskaan näe.Huomaa: tehokkain toimenpide on edelleen laajennusten pitäminen ajan tasalla – ja juuri sen HTProtect voi hoitaa automaattisesti, varmuuskopio mukaan lukien. Siihen asti, kunnes päivitys on asennettu, se pienentää riskiä (WAF, .htaccess-kovennus) ja ilmoittaa poikkeamista.
Tai kokonaan ilman tiedoston lähettämistä, suoraan toiminnolla “Asenna URL-osoitteesta” (Laajennukset › Hallitse › Asenna › Asenna URL-osoitteesta):
htprotect.org on maksuton ja valmistajariippumaton tietopalvelu. Sitä tukevat:
Saksalainen Joomla-webhotelli, jolla on aktiivinen yhteisötuki – havaitsi ensimmäisen JCE-tietoturva-aukkoon kohdistuneen hyökkäyksen.
fc-hosting.de
Erikoistunut Joomla- ja WordPress-sivustojen puhdistamiseen, ylläpitoon ja suojaamiseen.
website-bereinigung.deTarjoatko hosting- tai Joomla-palveluita ja haluat tukea htprotect.orgia – ja näkyä täällä tukijana? Jokainen tuki auttaa varoittamaan ja suojaamaan aukoista kärsiviä nopeammin.
Tuetko mieluummin yksityisesti ilman mainintaa? Pieni kolikko kahvikassaan ilahduttaa meitä aivan yhtä paljon.
Työmaakylttien, työmaa-aitojen ja julkisivuratkaisujen valmistus ja asennus – mukaan lukien suunnittelu ja 3D-visualisointi.
bauschildundservice.deAmmattimainen IT-tuki Tšekistä – Windows-hallinta, toimialueiden ylläpito ja webhotellipalvelut.
defendersoft.cz
Matkailuportaali Saksasta – valmismatkat, hotellit ja lennot verkossa sekä henkilökohtainen matkatoimistoneuvonta.
onlineweg.de
Luova toimisto Brandenburgista – verkkosivujen suunnittelu, painotuotteet, valokuvaus ja 360°-panoraamat samalta toimittajalta.
criadero.deIT-palveluntarjoaja Wächtersbachista – Joomla-verkkosivustot, PC-huolto, laitteet ja ohjelmistot.
jahnedv.de
Tietoturvakonsultointi Berliinistä – tietoturva-analyysit, riskienhallinta ja ISO 27001 pk-yrityksille.
isari-consult.de