Balbooa Forms – kriittinen tietoturva-aukko, päivitä 2.4.3.2
Turvallinen versio: Balbooa Forms 2.4.3.2 tai uudempi · via Balbooa
Yhdellä silmäyksellä
com_baforms)Mistä on kyse?
Balbooa Forms (com_baforms) tekee Joomla-sivustolle yhteydenotto- ja ilmoittautumislomakkeita. Lomakkeet voivat ottaa vastaan liitetiedostoja – ja juuri tämä latausreitti jäi suojaamatta: liitteen tallentava julkisen puolen kutsu oli mahdollista käynnistää ilman kirjautumista, eikä se tarkistanut suojaustokenia (CSRF) sen enempää kuin tiedostotyyppiäkään.
Näin hyökkääjä voi ladata palvelimelle suoritettavan PHP-tiedoston. Se päätyy latauskansion julkisesti saavutettavaan alikansioon, ja sen voi avata suoraan selaimessa – jolloin ujutettu koodi suoritetaan palvelimella (koodin etäsuoritus). Tässä vaiheessa hyökkääjä voi ottaa koko sivuston haltuunsa.
Haavoittuvuuksia tunnetaan nyt kaksi. Ensimmäinen koski tiedostojen latausta, ja se korjattiin 9. heinäkuuta 2026 versiossa 2.4.1 (CVE-2026-56291). Toinen tuli tietoon 19. elokuuta 2026: koodinosa, joka ottaa osoiteriviltä tulevan arvon vastaan tarkistamatta sitä, antoi hyökkääjän ujuttaa ja suorittaa omaa PHP-koodiaan ilman kirjautumista (CVE-2026-67364, vakavuusaste 10/10). Haavoittuvia ovat kaikki versiot 2.4.3.1 mukaan lukien; turvallinen on vasta 2.4.3.2. Tärkeä tarkennus: toinen haavoittuvuus puree vain, jos lomake käyttää omaa PHP-käsittelijää juuri tuolla koodinosalla eikä sen edessä ole reCAPTCHAa – se ei siis koske jokaista asennusta. Päivityksen kiireellisyyttä se ei silti vähennä: jos et pysty varmuudella sulkemaan asiaa pois, oleta olevasi haavoittuva. Haavoittuvuuden tunnus on CVE-2026-56291, ja ilmoituksen mukaan sitä hyödynnetään jo aktiivisesti hyökkäyksissä; julkista hyökkäyskoodia ei ole julkaistu.
Koskeeko tämä minua? – Näin tarkistat
- Avaa hallintapaneeli
Kirjaudu Joomlan ylläpitoon.
- Tarkista versio
Avaa Lisäosat›Hallinta›Hallinta, suodata hakusanalla
Balbooa Formsja katso versionumero. - Arvioi versio
Jos versio on 2.4.3.1 tai vanhempi, sinun on toimittava välittömästi.
- Etsi merkkejä murrosta
Tarkista kansio images/baforms/uploads/ vieraiden
.php-tiedostojen varalta ja käyttäjälista tuntemattomien ylläpitäjätilien varalta.
Näin tukit aukon
- Avaa päivityskeskus
Siirry kohtaan Järjestelmä›Päivitä›Lisäosat ja napsauta Tarkista päivitykset.
- Päivitä Balbooa Forms
Valitse listalta Balbooa Forms ja päivitä se versioon 2.4.3.2 tai uudempaan.
- Varmista versio
Tarkista lopuksi, että uusi versio on todella asennettu.
Virallinen lähde: via Balbooa. Varmista, että käytössä on vähintään Balbooa Forms 2.4.3.2 tai uudempi.
Onko sivustolle jo hyökätty?
.php-tiedostojen varalta, tarkista käyttäjälistalta uudet pääkäyttäjät ja vaihda löydön jälkeen kaikki salasanat (Joomlan ylläpito, FTP/SSH, tietokanta). Jos olet epävarma, teetä sivuston puhdistus ammattilaisella.Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.
Lähteet & lisälukemista
- Alkuperäinen ilmoitus – mySites.guruTiedote, jossa on tekniset yksityiskohdat
- Balbooa (valmistaja)Päivityksen saa Joomlan päivitystoiminnon tai Balbooa-tilin kautta
- CVE-2026-56291 (CVE.org)Virallinen CVE-tietue
- Joomla Vulnerable Extensions List (VEL)Yhteisön ylläpitämä lista haavoittuvista lisäosista
Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.
Samankaltaiset tietoturva-aukot
Muita laajennuksia, joissa on vastaavia haavoittuvuuksia. Tarkista, onko jokin niistä asennettuna sivustollesi.
Tämän sivuston tukijat
htprotect.org on maksuton ja valmistajariippumaton tietopalvelu. Sitä tukevat:
Saksalainen Joomla-webhotelli, jolla on aktiivinen yhteisötuki – havaitsi ensimmäisen JCE-tietoturva-aukkoon kohdistuneen hyökkäyksen.
fc-hosting.de
Erikoistunut Joomla- ja WordPress-sivustojen puhdistamiseen, ylläpitoon ja suojaamiseen.
website-bereinigung.deTue tätä projektia
Tarjoatko hosting- tai Joomla-palveluita ja haluat tukea htprotect.orgia – ja näkyä täällä tukijana? Jokainen tuki auttaa varoittamaan ja suojaamaan aukoista kärsiviä nopeammin.
Tuetko mieluummin yksityisesti ilman mainintaa? Pieni kolikko kahvikassaan ilahduttaa meitä aivan yhtä paljon.
Työmaakylttien, työmaa-aitojen ja julkisivuratkaisujen valmistus ja asennus – mukaan lukien suunnittelu ja 3D-visualisointi.
bauschildundservice.deAmmattimainen IT-tuki Tšekistä – Windows-hallinta, toimialueiden ylläpito ja webhotellipalvelut.
defendersoft.cz
Matkailuportaali Saksasta – valmismatkat, hotellit ja lennot verkossa sekä henkilökohtainen matkatoimistoneuvonta.
onlineweg.de
Luova toimisto Brandenburgista – verkkosivujen suunnittelu, painotuotteet, valokuvaus ja 360°-panoraamat samalta toimittajalta.
criadero.deIT-palveluntarjoaja Wächtersbachista – Joomla-verkkosivustot, PC-huolto, laitteet ja ohjelmistot.
jahnedv.de
Tietoturvakonsultointi Berliinistä – tietoturva-analyysit, riskienhallinta ja ISO 27001 pk-yrityksille.
isari-consult.de