Tietoturva-aukko

AcyMailingin tietoturva-aukko: SQL-injektio – päivitä heti

KriittinenCVE-2026-56292

Toimi heti

Päivitä AcyMailing heti versioon 10.11.1 tai uudempaan – ja vaihda kaikki salasanat, jos sivusto ehti olla korjaamattomana.

Lataa turvallinen versio Siirry päivitysvaiheisiin

Turvallinen versio: AcyMailing 10.11.1 tai uudempi · via AcyMailing

Yhdellä silmäyksellä

Haavoittuva laajennus

AcyMailing – uutiskirjekomponentti (com_acym)

Valmistaja

Acyba

Aukon tyyppi

Ilman kirjautumista tehtävä SQL-injektio sivuston julkisen puolen päätepisteen kautta; mahdollistaa minkä tahansa tietokantataulun lukemisen nimettömänä (käyttäjätilit, salasanatiivisteet, sisältö)

Haavoittuvat versiot

Versiot 6.0.0–10.11.0 (10.11.0 mukaan lukien)

Turvallinen versio

AcyMailing 10.11.1 tai uudempi Lataa

Vakavuusaste

Kriittinen

CVE

CVE-2026-56292

Joomla-yhteensopivuus

Joomla 3 / 4 / 5

Tilanne / julkaistu

Julkaistu/korjattu: 9.7.2026

Mistä on kyse?

AcyMailing (com_acym) hoitaa uutiskirjeet ja sähköpostikampanjat Joomlassa. Sivuston julkisella puolella oli päätepiste, johon pääsi käsiksi ilman kirjautumista, ja se sijoitti annetut parametrit suodattamatta SQL-kyselyyn. Kyselyä oli näin mahdollista manipuloida (SQL-injektio).

Tätä kautta hyökkääjä pystyy lukemaan minkä tahansa tietokantataulun – esimerkiksi käyttäjätaulun, jossa ovat kirjautumistunnukset ja (tiivisteinä tallennetut) salasanat, mutta myös artikkelit ja sisäiset asetustiedot. Kyse on pelkästä lukuoikeudesta, mutta se paljastaa arkaluonteiset tiedot ja pohjustaa jatkohyökkäyksiä (esimerkiksi salasanatiivisteiden murtamista).

Haavoittuvia ovat versiot 6.0.0–10.11.0 (10.11.0 mukaan lukien). Korjaus on ollut saatavilla 9.7.2026 alkaen versiona 10.11.1. Aukon tunnus on CVE-2026-56292.

Koskeeko tämä minua? – Näin tarkistat

Avaa ylläpito
Kirjaudu Joomlan ylläpitoon.
Tarkista versio
Avaa Laajennukset›Hallinta›Hallinta, suodata hakusanalla AcyMailing ja lue versionumero.
Arvioi versio
Jos versio on välillä 6.0.0–10.11.0, sinun on toimittava. Turvallinen versio on 10.11.1 tai uudempi.
Arvioi riski
Tietojen lukeminen jättää tuskin näkyviä jälkiä. Jos sivusto oli pitkään korjaamattomana, oleta, että salasanatiivisteet ovat voineet vuotaa.

Näin tukit aukon

Ennen jokaista päivitystä: varmuuskopio

Varmuuskopioi tiedostot ja tietokanta ennen päivitystä – näin voit palauttaa sivuston, jos jokin menee pieleen (esim. Akeeba Backupilla tai webhotellisi kautta).

Avaa päivityskeskus
Siirry kohtaan Järjestelmä›Päivitä›Laajennukset ja napsauta Tarkista päivitykset.
Päivitä AcyMailing
Valitse listalta AcyMailing ja päivitä se versioon 10.11.1 tai uudempaan.
Varmista versio
Tarkista lopuksi, että uusi versio on todella käytössä.

Manuaalinen asennus (vaihtoehto)

Jos päivitystä ei tarjota, lataa paketti AcyMailing-tililtäsi ja asenna se kohdasta Laajennukset›Hallinta›Asenna.

Lataa turvallinen versio

Virallinen lähde: via AcyMailing. Varmista, että käytössä on vähintään AcyMailing 10.11.1 tai uudempi.

Onko sivustolle jo hyökätty?

Päivitys ei tuo jo luettuja tietoja takaisin

Päivitys estää uudet lukuyritykset, mutta ei peru jo tapahtunutta lukemista. Jos sivusto oli pidempään korjaamattomana, vaihda varmuuden vuoksi kaikki salasanat (Joomlan käyttäjät, erityisesti ylläpitäjät), katkaise avoimet istunnot ja – jos mahdollista – luo Joomlan salaiset avaimet uudelleen. Käy lisäksi käyttäjälista läpi tuntemattomien tilien varalta.

Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.

Lähteet & lisälukemista

Alkuperäinen ilmoitus – mySites.guruTiedote, jossa on tekniset yksityiskohdat
AcyMailing / Acyba (valmistaja)Päivitys Joomlan päivitystoiminnon tai AcyMailing-tilisi kautta
CVE-2026-56292 (CVE.org)Virallinen CVE-tietue
Joomla Vulnerable Extensions List (VEL)Yhteisön ylläpitämä lista haavoittuvista laajennuksista

Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.

Takaisin kaikkiin tietoturva-aukkoihin

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de