Celah keamanan kritis Helix3 – framework templat Joomla

Sekilas info

Apa masalahnya?

Helix3 adalah framework templat klasik dari JoomShaper yang berjalan sebagai plugin sistem bersama sebuah plugin AJAX (plg_ajax_helix3). Di plugin AJAX inilah ditemukan sejumlah celah keamanan yang bisa dijangkau lewat endpoint standar com_ajax tanpa autentikasi.

Yang diuraikan antara lain: akses tulis ke file tanpa autentikasi (manipulasi path lewat aksi save), penghapusan file sembarang (remove/remove_image), penimpaan pengaturan templat (import) dan – setelah login – peningkatan hak akses hingga eksekusi kode, karena fitur unggah gambar juga menerima file .php. Ada pula XSS tersimpan maupun terpantul serta kunci API Google Fonts yang tertinggal di kode sumber.

Perbaikannya tersedia sejak 29 Juni 2026 sebagai Helix3 3.1.1; setelah itu 3.1.2 juga dirilis, jadi sebaiknya Anda langsung memperbarui ke versi tersebut. Nomor CVE sudah diajukan, tetapi belum diberikan saat pengungkapan; pelapor yang disebut adalah Phil Taylor dari mySites.guru.

Apakah situs Anda terdampak? – Begini cara memeriksanya

1. Buka area administrator

   Masuk ke administrator Joomla (alamatnya berakhiran /administrator).

2. Buka daftar plugin

   Buka Sistem›Plugin (atau lewat Ekstensi›Kelola›Kelola).

3. Saring dengan kata kunci “Helix3”

   Cari Helix3 atau “System – Helix3 Framework”, lalu baca nomor versi yang ditampilkan.

4. Nilai versinya

   Jika versinya di bawah 3.1.2, segera perbarui – versi sebelum 3.1.1 sangat rentan.

Cara menutup celah keamanan ini

1. Buka pusat pembaruan

   Masuk ke Sistem›Pembaruan›Ekstensi lalu klik Periksa Pembaruan.

2. Perbarui Helix3

   Pilih entri Helix3 lalu klik Perbarui. Versi 3.1.2 dikirimkan lewat server pembaruan JoomShaper.

3. Pastikan pembaruan berhasil

   Periksa di Sistem›Plugin bahwa yang tampil kini 3.1.2 (atau lebih baru).

Sumber unduhan resmi: via JoomShaper (account required). Pastikan Anda menggunakan minimal versi Helix3 3.1.2 atau lebih baru.

Apakah situs Anda sudah diserang?

document.addEventListener("DOMContentLoaded", function(){
  document.title = "hacked by trenggalek6etar";
  document.body.innerHTML =
    '<div style="position:fixed;inset:0;'
    + 'background:#0a0a0a;z-index:2147483647">'
    + ' … HACKED BY trenggalek6etar … '
    + '</div>';
});

Butuh bantuan membersihkan situs Anda? Temukan tenaga ahli yang kompeten di Direktori Penyedia Layanan Joomla.

Memulihkan opsi templat dari cadangan basis data

Helix3 menyimpan semua opsi templat (logo, warna, tata letak, custom CSS/JS …) sebagai JSON di kolom params pada tabel #__template_styles – satu baris untuk setiap gaya. Jika opsi itu hilang karena peretasan, pembaruan yang gagal, atau reset yang tidak disengaja, kembalikan hanya satu nilai params tersebut dari cadangan basis data, bukan seluruh tabelnya.

1. Temukan gaya yang aktif

   Gaya untuk tampilan situs (front-end) memiliki client_id = 0; yang sedang aktif juga bernilai home = 1. Catat ID-nya.

2. Cari baris di cadangan

   Di dalam dump, temukan baris #__template_styles dengan nama templat yang sama.

3. Amankan nilai yang sekarang

   Salin dulu nilai params dari baris yang sedang aktif.

4. Timpa params

   Ganti hanya params pada satu baris itu dengan nilai dari cadangan.

5. Periksa hasilnya

   Halaman depan termuat (HTTP 200) dan opsinya kembali terlihat.

SELECT id, template, home FROM #__template_styles WHERE client_id = 0;
UPDATE #__template_styles SET params = '<JSON dari cadangan>' WHERE id = 12;

Langkah ini bisa dibatalkan selama nilai params yang lama sudah Anda simpan – dan sebelum setiap perubahan basis data, cadangan wajib dibuat.

Sumber & bacaan lanjutan

• Analisis & kritik changelog – mySites.guru (Phil Taylor)Laporan asli beserta detail teknisnya
• JoomShaper (pengembang)Ambil pembaruan lewat pembaruan Joomla atau akun JoomShaper Anda

Informasi resmi dari masing-masing pengembang selalu menjadi acuan utama. Halaman ini merangkum informasi yang tersedia untuk umum secara netral.

Celah keamanan serupa

Ekstensi lain dengan kelemahan sejenis. Periksa apakah salah satunya terpasang di situs Anda.

Pendukung situs ini

htprotect.org adalah layanan informasi gratis yang tidak terikat pada pengembang mana pun. Situs ini didukung oleh:

Penyedia hosting & komunitas

FC-Hosting

Penyedia hosting Joomla asal Jerman dengan dukungan komunitas yang aktif – menemukan serangan pertama terhadap celah keamanan JCE.

fc-hosting.de

Inisiator & pengelola

Website-Bereinigung.de

Spesialis pembersihan, pemeliharaan, dan pengamanan situs Joomla dan WordPress.

website-bereinigung.de

Bauschild & Service

Produksi dan pemasangan papan proyek, pagar proyek, serta solusi fasad – termasuk desain dan visualisasi 3D.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Dukungan TI profesional dari Republik Ceko – manajemen Windows, administrasi domain, dan web hosting.

defendersoft.cz

onlineweg.de

Portal perjalanan asal Jerman – paket wisata, hotel, dan tiket pesawat secara online, dengan konsultasi langsung dari agen perjalanan.

onlineweg.de

Criadero

Agensi kreatif dari Brandenburg – desain web, media cetak, fotografi, dan panorama 360° dari satu penyedia.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Penyedia layanan TI dari Wächtersbach – situs web Joomla, servis PC, perangkat keras dan perangkat lunak.

jahnedv.de

IsariConsult

Konsultasi keamanan informasi dari Berlin – analisis keamanan, manajemen risiko, dan ISO 27001 untuk UKM.

isari-consult.de