Tietoturva-aukko

Balbooa Forms – kriittinen tietoturva-aukko, päivitä heti

Kriittinen Hyödynnetään aktiivisestiCVE-2026-56291

Toimi heti

Päivitä Balbooa Forms heti versioon 2.4.1 tai uudempaan – ja puhdista sivusto, jos epäilet tietomurtoa.

Lataa turvallinen versio Siirry päivitysvaiheisiin

Turvallinen versio: Balbooa Forms 2.4.1 tai uudempi · via Balbooa

Yhdellä silmäyksellä

Haavoittuva laajennus

Balbooa Forms – lomakelaajennus (com_baforms)

Valmistaja

Balbooa

Aukon tyyppi

Tiedostojen lataus palvelimelle julkisen lomakkeen kautta ilman kirjautumista → koodin etäsuoritus (RCE); ei kirjautumisen, suojaustokenin eikä tiedostotyypin tarkistusta

Haavoittuvat versiot

Kaikki versiot 2.4.0 ja sitä vanhemmat

Turvallinen versio

Balbooa Forms 2.4.1 tai uudempi Lataa

Vakavuusaste

Kriittinen · hyödynnetään aktiivisesti

CVE

CVE-2026-56291

Joomla-yhteensopivuus

Joomla 4 / 5 / 6

Tilanne / julkaistu

Julkaistu/korjattu: 9. heinäkuuta 2026

Mistä on kyse?

Balbooa Forms (com_baforms) tekee Joomla-sivustolle yhteydenotto- ja ilmoittautumislomakkeita. Lomakkeet voivat ottaa vastaan liitetiedostoja – ja juuri tämä latausreitti jäi suojaamatta: liitteen tallentava julkisen puolen kutsu oli mahdollista käynnistää ilman kirjautumista, eikä se tarkistanut suojaustokenia (CSRF) sen enempää kuin tiedostotyyppiäkään.

Näin hyökkääjä voi ladata palvelimelle suoritettavan PHP-tiedoston. Se päätyy latauskansion julkisesti saavutettavaan alikansioon, ja sen voi avata suoraan selaimessa – jolloin ujutettu koodi suoritetaan palvelimella (koodin etäsuoritus). Tässä vaiheessa hyökkääjä voi ottaa koko sivuston haltuunsa.

Haavoittuvia ovat kaikki versiot 2.4.0 ja sitä vanhemmat. Korjaus on ollut saatavilla 9. heinäkuuta 2026 alkaen versiona 2.4.1, joka lisää puuttuvat tarkistukset. Haavoittuvuuden tunnus on CVE-2026-56291, ja ilmoituksen mukaan sitä hyödynnetään jo aktiivisesti hyökkäyksissä; julkista hyökkäyskoodia ei ole julkaistu.

Koskeeko tämä minua? – Näin tarkistat

Avaa hallintapaneeli
Kirjaudu Joomlan ylläpitoon.
Tarkista versio
Avaa Lisäosat›Hallinta›Hallinta, suodata hakusanalla Balbooa Forms ja katso versionumero.
Arvioi versio
Jos versio on 2.4.0 tai vanhempi, sinun on toimittava välittömästi.
Etsi merkkejä murrosta
Tarkista kansio images/baforms/uploads/ vieraiden .php-tiedostojen varalta ja käyttäjälista tuntemattomien ylläpitäjätilien varalta.

Näin tukit aukon

Ennen jokaista päivitystä: varmuuskopio

Varmuuskopioi tiedostot ja tietokanta ennen päivitystä – näin voit palauttaa sivuston, jos jokin menee pieleen (esim. Akeeba Backupilla tai webhotellisi kautta).

Avaa päivityskeskus
Siirry kohtaan Järjestelmä›Päivitä›Lisäosat ja napsauta Tarkista päivitykset.
Päivitä Balbooa Forms
Valitse listalta Balbooa Forms ja päivitä se versioon 2.4.1 tai uudempaan.
Varmista versio
Tarkista lopuksi, että uusi versio on todella asennettu.

Manuaalinen asennus (vaihtoehto)

Jos päivitystä ei näy, lataa paketti Balbooa-tililtäsi ja asenna se kohdasta Lisäosat›Hallinta›Asenna.

Lataa turvallinen versio

Virallinen lähde: via Balbooa. Varmista, että käytössä on vähintään Balbooa Forms 2.4.1 tai uudempi.

Onko sivustolle jo hyökätty?

Jos sivusto on murrettu, päivitys ei riitä

Päivitys tukkii aukon, mutta ei poista jo palvelimelle ladattua haitallista koodia. Käy läpi images/baforms/uploads/ ja sen ympärillä olevat kansiot vieraiden .php-tiedostojen varalta, tarkista käyttäjälistalta uudet pääkäyttäjät ja vaihda löydön jälkeen kaikki salasanat (Joomlan ylläpito, FTP/SSH, tietokanta). Jos olet epävarma, teetä sivuston puhdistus ammattilaisella.

Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.

Lähteet & lisälukemista

Alkuperäinen ilmoitus – mySites.guruTiedote, jossa on tekniset yksityiskohdat
Balbooa (valmistaja)Päivityksen saa Joomlan päivitystoiminnon tai Balbooa-tilin kautta
CVE-2026-56291 (CVE.org)Virallinen CVE-tietue
Joomla Vulnerable Extensions List (VEL)Yhteisön ylläpitämä lista haavoittuvista lisäosista

Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.

Takaisin kaikkiin tietoturva-aukkoihin

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de