HTProtect.org
Független információs oldal a Joomla biztonsági réseiről
HU
HTProtect HTProtect JOOMLA SECURITY
Új htprotect.app - Központi Joomla oldalkezelés több weboldalhoz
htprotect.org Biztonsági rések & frissítési útmutatók
Új htprotect.app - Központi Joomla oldalkezelés több weboldalhoz
Biztonsági rés

AcyMailing biztonsági rés: bárki kiolvashatja az adatbázist

KritikusCVE-2026-56292
Azonnali teendő
Az AcyMailinget haladéktalanul 10.11.1-es vagy újabb verzióra kell frissíteni – hosszabb javítatlan időszak után pedig minden jelszót cserélni kell.
Biztonságos verzió letöltése Ugrás a frissítés lépéseihez

Biztonságos verzió: AcyMailing 10.11.1 vagy újabb · via AcyMailing

A lényeg röviden

Érintett bővítmény
AcyMailing – hírlevélkomponens (com_acym)
Fejlesztő
Acyba
A biztonsági rés típusa
Bejelentkezés nélküli SQL-injekció a webhely nyilvános oldalán elérhető végponton keresztül; az adatbázis tetszőleges táblája kiolvasható (felhasználói fiókok, jelszóhashek, tartalmak)
Érintett verziók
A 6.0.0-tól a 10.11.0-ig bezárólag minden verzió
Biztonságos verzió
AcyMailing 10.11.1 vagy újabb   Letöltés
Súlyosság
Kritikus
CVE
CVE-2026-56292
Joomla-kompatibilitás
Joomla 3 / 4 / 5
Állapot / közzététel
Közzétéve/javítva: 2026. július 9.

Miről van szó?

Az AcyMailing (com_acym) a Joomla rendszerében kezeli a hírleveleket és az e-mail-kampányokat. Egy, a webhely nyilvános oldalán – vagyis bejelentkezés nélkül – elérhető végpont szűretlenül illesztette az átadott paramétereket egy SQL-lekérdezésbe, így a lekérdezés manipulálhatóvá vált (SQL-injekció).

Ezen a módon a támadó az adatbázis bármelyik tábláját kiolvashatja – például a felhasználói táblát a bejelentkezési nevekkel és a (hashelt) jelszavakkal, de a cikkeket és a belső beállításokat is. A hozzáférés csak olvasásra korlátozódik, mégis bizalmas adatokat fed fel, és előkészíti a további támadásokat, például a jelszóhashek feltörését.

A sebezhetőség a 6.0.0-tól 10.11.0-ig bezárólag terjedő verziókat érinti. A javítás 2026. július 9. óta érhető el 10.11.1 verzióként. A hibát a CVE-2026-56292 azonosító alatt tartják nyilván.

Érintett az oldalam? – Így ellenőrizhető

  1. Az adminisztrációs felület megnyitása

    Jelentkezzen be a Joomla adminisztrációs felületére.

  2. A verzió ellenőrzése

    A Bővítmények›Kezelés›Kezelés menüpontban szűrjön az AcyMailing névre, és olvassa le a verziószámot.

  3. A verzió kiértékelése

    Ha a verzió 6.0.0 és 10.11.0 közé esik, beavatkozásra van szükség. Biztonságos a 10.11.1 vagy újabb.

  4. A kockázat felmérése

    Az adatok kiolvasása alig hagy látható nyomot. Hosszabb javítatlan időszak után abból érdemes kiindulni, hogy a jelszóhashek kiszivároghattak.

Így szüntethető meg a biztonsági rés

Frissítés előtt: biztonsági mentés
Frissítés előtt mentse el a fájlokat és az adatbázist – így hiba esetén bármikor visszaállítható a korábbi állapot (pl. az Akeeba Backup segítségével vagy a tárhelyszolgáltatónál).
  1. A frissítéskezelő megnyitása

    Lépjen a Rendszer›Frissítés›Bővítmények menüpontra, és kattintson a Frissítések keresése gombra.

  2. Az AcyMailing frissítése

    Jelölje ki a bejegyzést, és frissítsen 10.11.1-es vagy újabb verzióra.

  3. A verzió ellenőrzése

    Ezután győződjön meg arról, hogy az új verzió valóban életbe lépett.

Kézi telepítés (alternatíva)
Ha nem jelenik meg frissítés, töltse le a csomagot az AcyMailing-fiókjából, és telepítse a Bővítmények›Kezelés›Telepítés menüponton keresztül.
Biztonságos verzió letöltése

Hivatalos letöltési forrás: via AcyMailing. A telepített verzió legyen legalább AcyMailing 10.11.1 vagy újabb.

Feltörték már a weboldalt?

A már kiolvasott adatokat egyetlen frissítés sem hozza vissza
A frissítés megakadályozza a további hozzáférést, de a már megtörtént adatkiolvasáson nem változtat. Ha a webhely hosszabb ideig javítatlan maradt, elővigyázatosságból cserélje le az összes jelszót (a Joomla-felhasználókét, különösen az adminisztrátorokét), zárja le az aktív munkameneteket, és – ha lehetséges – állítsa be újra a Joomla titkos kulcsait. Nézze át a felhasználók listáját is, nem szerepel-e benne ismeretlen fiók.

Segítségre van szüksége a kártékony kód eltávolításához? Megfelelő szakembereket a Joomla szolgáltatói jegyzékében talál.

Források & további hivatkozások

Minden esetben az adott fejlesztő hivatalos közlése az irányadó. Ez az oldal semlegesen foglalja össze a nyilvánosan elérhető információkat.

Vissza az összes biztonsági réshez
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de