Helix Ultimate – kriittiset tietoturva-aukot, päivitä heti
Turvallinen versio: Helix Ultimate 2.2.8 tai uudempi · free download via JoomShaper
Yhdellä silmäyksellä
Mistä on kyse?
Helix Ultimate on JoomShaperin nykyinen sivupohjakehys – sivupohja ja sen mukana tuleva järjestelmäliitännäinen. Se rekisteröi AJAX-käsittelijän, jonka Joomla suorittaa tavanomaisen com_ajax-päätepisteen kautta myös täysin kirjautumattomille kävijöille. Ennen versiota 2.2.7 useat näistä toiminnoista tekivät työnsä tarkistamatta ensin kirjautumista tai käyttöoikeutta.
Vakavin niistä on kirjoitusoikeus valikkoasetuksiin ilman kirjautumista: koska valikon sisältöä ei puhdistettu ennen tulostusta, sen kautta sivustolle voi tallentaa pysyvästi haitallista skriptiä, joka suoritetaan sen jälkeen kävijöiden selaimissa – ja jopa ylläpitäjän istunnossa (tallennettu XSS). Lisäksi mukana on path traversal -aukko, jonka kautta tiedostojen poisto ylsi mihin tahansa kohtaan Joomlan hakemistoa, avoin uudelleenohjaus ja suojaamaton sivupohjan vienti.
Korjaus on ollut saatavilla 7. heinäkuuta 2026 alkaen versiona Helix Ultimate 2.2.7; se palauttaa puuttuvat kirjautumisen ja käyttöoikeuksien tarkistukset kaikkiin AJAX-toimintoihin, rajaa tiedostopolut, tarkistaa uudelleenohjaukset ja puhdistaa valikon tulosteen. Pian sen jälkeen ilmestyi 2.2.8, joka sisälsi pienen jälkikorjauksen – päivitä siis suoraan versioon 2.2.8 tai uudempaan. Koska versioita 2.2.5 ja 2.2.6 ei koskaan julkaistu, jokainen tätä vanhempi versio on haavoittuva – monissa asennuksissa on yhä käytössä 2.1-sarja tai jopa 1.1-sarja. CVE-tunnusta ei ole toistaiseksi annettu.
Koskeeko tämä minua? – Näin tarkistat
- Avaa ylläpito
Kirjaudu Joomlan ylläpitoon (osoitteen lopussa on
/administrator). - Siirry lisäosien hallintaan
Avaa Lisäosat›Hallinta›Hallinta ja suodata hakusanalla
Helix Ultimate. - Lue versionumero
Katso asennettu versio. Jos se on pienempi kuin 2.2.8, päivitä – versiot ennen 2.2.7 ovat akuutisti haavoittuvia.
- Etsi merkkejä murrosta
Tarkista valikot ja megavalikon asetukset sellaisten linkkien tai skriptien varalta, joita et ole itse lisännyt, sekä käyttäjälista tuntemattomien pääkäyttäjätilien varalta.
Näin tukit aukon
- Avaa päivitysnäkymä
Siirry kohtaan Järjestelmä›Päivitä›Lisäosat ja napsauta Tarkista päivitykset.
- Päivitä kaikki Helix Ultimaten osat
Päivitä jokainen tarjolla oleva Helix Ultimate -kohde versioon 2.2.8 tai uudempaan (järjestelmäliitännäinen ja sivupohja, mahdollisesti myös sivupohjan asennuspaketti) – ei vain yhtä niistä.
- Varmista onnistuminen
Tarkista lopuksi, että kaikkialla näkyy 2.2.8 (tai uudempi).
Virallinen lähde: free download via JoomShaper. Varmista, että käytössä on vähintään Helix Ultimate 2.2.8 tai uudempi.
Onko sivustolle jo hyökätty?
.htaccess, index.html) yhä tallella ja onko sivupohjatyylien asetuksia muutettu. Jos löydät jotain, ota ensin todisteet talteen, puhdista sitten koko sivusto ja vaihda kaikki salasanat ja salaiset avaimet.Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.
Lähteet & lisälukemista
- Yksityiskohtainen analyysi – Website-Bereinigung.deTaustat ja puhdistus
- Alkuperäinen ilmoitus – mySites.guruTiedote, joka vahvisti tietoturva-aukon
- Joomla Vulnerable Extensions List (VEL)Yhteisön ylläpitämä lista haavoittuvista lisäosista
Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.
Samankaltaiset tietoturva-aukot
Muita laajennuksia, joissa on vastaavia haavoittuvuuksia. Tarkista, onko jokin niistä asennettuna sivustollesi.
Tämän sivuston tukijat
htprotect.org on maksuton ja valmistajariippumaton tietopalvelu. Sitä tukevat:
Saksalainen Joomla-webhotelli, jolla on aktiivinen yhteisötuki – havaitsi ensimmäisen JCE-tietoturva-aukkoon kohdistuneen hyökkäyksen.
fc-hosting.de
Erikoistunut Joomla- ja WordPress-sivustojen puhdistamiseen, ylläpitoon ja suojaamiseen.
website-bereinigung.deTue tätä projektia
Tarjoatko hosting- tai Joomla-palveluita ja haluat tukea htprotect.orgia – ja näkyä täällä tukijana? Jokainen tuki auttaa varoittamaan ja suojaamaan aukoista kärsiviä nopeammin.
Tuetko mieluummin yksityisesti ilman mainintaa? Pieni kolikko kahvikassaan ilahduttaa meitä aivan yhtä paljon.
Työmaakylttien, työmaa-aitojen ja julkisivuratkaisujen valmistus ja asennus – mukaan lukien suunnittelu ja 3D-visualisointi.
bauschildundservice.deAmmattimainen IT-tuki Tšekistä – Windows-hallinta, toimialueiden ylläpito ja webhotellipalvelut.
defendersoft.cz
Matkailuportaali Saksasta – valmismatkat, hotellit ja lennot verkossa sekä henkilökohtainen matkatoimistoneuvonta.
onlineweg.de
Luova toimisto Brandenburgista – verkkosivujen suunnittelu, painotuotteet, valokuvaus ja 360°-panoraamat samalta toimittajalta.
criadero.deIT-palveluntarjoaja Wächtersbachista – Joomla-verkkosivustot, PC-huolto, laitteet ja ohjelmistot.
jahnedv.de
Tietoturvakonsultointi Berliinistä – tietoturva-analyysit, riskienhallinta ja ISO 27001 pk-yrityksille.
isari-consult.de