Balbooa Gridbox – 7 tietoturva-aukkoa, päivitys ei riitä
Turvallinen versio: Balbooa Gridbox 2.20.2 tai uudempi · via Balbooa (account required)
Yhdellä silmäyksellä
com_gridbox)Mistä on kyse?
Balbooa Gridbox on Joomlan sivunrakentaja samalta valmistajalta kuin Balbooa Forms. Versioista 2.20.1 ja sitä vanhemmista on löytynyt useita vakavia tietoturva-aukkoja, ja seitsemällä niistä on oma CVE-tunniste.
Kolme niistä yltää korkeimpaan mahdolliseen arvoon 10/10: oikeuksien laajentaminen, jonka avulla ylläpitäjätilin pystyi luomaan ilman kirjautumista (CVE-2026-65884), kenen tahansa toisen käyttäjän salasanan nollaus (CVE-2026-65887) ja olemassa olevien tilien kaappaus (CVE-2026-65888). Lisäksi aukkoihin kuuluvat pääsy tiedostoihin ilman kirjautumista, SQL-injektio ja ohitettavissa oleva oikeuksien tarkistus.
Tämä on olennaisin kohta: näiden aukkojen kohdalla pelkkä päivitys ei välttämättä riitä. Jos sivustosi on pyörinyt jonkin aikaa versiolla 2.20.1 tai sitä vanhemmalla, sinne on voitu jo ujuttaa ylläpitäjätili. Päivitys sulkee sisäänpääsyreitin – valmiiksi luotu tili jää paikalleen, kunnes se poistetaan.
Koskeeko tämä minua? – Näin tarkistat
- Avaa hallintapaneeli
Kirjaudu Joomlan ylläpitoon.
- Tarkista versio
Avaa Lisäosat›Hallinta›Hallinta ja suodata listaa hakusanalla ”Gridbox”. Jos versio on 2.20.1 tai vanhempi, sivusto on haavoittuva.
- Tarkista käyttäjälista
Avaa Käyttäjät›Hallinta ja etsi tilejä, joita et ole itse luonut – erityisesti sellaisia, joilla on outo käyttäjätunnus ja kertakäyttöinen sähköpostiosoite. Älä poista mitään sokkona, vaan tarkista ensin.
- Käy laajennukset läpi
Tarkista kohdassa Lisäosat›Hallinta myös liitännäisten lista sellaisten merkintöjen varalta, joita et ole koskaan asentanut.
Näin tukit aukon
- Ennen päivitystä: varmuuskopio
Varmuuskopioi tiedostot ja tietokanta ennen päivittämistä.
- Avaa päivityskeskus
Siirry kohtaan Järjestelmä›Päivitä›Lisäosat ja napsauta Tarkista päivitykset.
- Päivitä Gridbox
Valitse listalta Gridbox ja päivitä se versioon 2.20.2 tai uudempaan. 2.20.1 ei riitä.
- Sen jälkeen: tarkista tilit
Käy käyttäjälista läpi vasta päivityksen jälkeen – aiemmin luotu tili ei häviä itsestään.
Virallinen lähde: via Balbooa (account required). Varmista, että käytössä on vähintään Balbooa Gridbox 2.20.2 tai uudempi.
Onko sivustolle jo hyökätty?
Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.
Lähteet & lisälukemista
- CVE-2026-65884 – oikeuksien laajentaminenVakavuusaste 10/10
- CVE-2026-65887 – toisten käyttäjien salasanojen nollausVakavuusaste 10/10
- CVE-2026-65888 – tilin kaappausVakavuusaste 10/10
- Balbooa (valmistaja)Turvallisen version 2.20.2 lataus
Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.
Samankaltaiset tietoturva-aukot
Muita laajennuksia, joissa on vastaavia haavoittuvuuksia. Tarkista, onko jokin niistä asennettuna sivustollesi.
Tämän sivuston tukijat
htprotect.org on maksuton ja valmistajariippumaton tietopalvelu. Sitä tukevat:
Saksalainen Joomla-webhotelli, jolla on aktiivinen yhteisötuki – havaitsi ensimmäisen JCE-tietoturva-aukkoon kohdistuneen hyökkäyksen.
fc-hosting.de
Erikoistunut Joomla- ja WordPress-sivustojen puhdistamiseen, ylläpitoon ja suojaamiseen.
website-bereinigung.deTue tätä projektia
Tarjoatko hosting- tai Joomla-palveluita ja haluat tukea htprotect.orgia – ja näkyä täällä tukijana? Jokainen tuki auttaa varoittamaan ja suojaamaan aukoista kärsiviä nopeammin.
Tuetko mieluummin yksityisesti ilman mainintaa? Pieni kolikko kahvikassaan ilahduttaa meitä aivan yhtä paljon.
Työmaakylttien, työmaa-aitojen ja julkisivuratkaisujen valmistus ja asennus – mukaan lukien suunnittelu ja 3D-visualisointi.
bauschildundservice.deAmmattimainen IT-tuki Tšekistä – Windows-hallinta, toimialueiden ylläpito ja webhotellipalvelut.
defendersoft.cz
Matkailuportaali Saksasta – valmismatkat, hotellit ja lennot verkossa sekä henkilökohtainen matkatoimistoneuvonta.
onlineweg.de
Luova toimisto Brandenburgista – verkkosivujen suunnittelu, painotuotteet, valokuvaus ja 360°-panoraamat samalta toimittajalta.
criadero.deIT-palveluntarjoaja Wächtersbachista – Joomla-verkkosivustot, PC-huolto, laitteet ja ohjelmistot.
jahnedv.de
Tietoturvakonsultointi Berliinistä – tietoturva-analyysit, riskienhallinta ja ISO 27001 pk-yrityksille.
isari-consult.de