HTProtect.org
Onafhankelijke informatiesite over Joomla-beveiligingslekken
NL
HTProtect HTProtect JOOMLA SECURITY
Nieuw htprotect.app - Centraal sitebeheer voor meerdere Joomla-websites
htprotect.org Beveiligingslekken & updatehandleidingen
Nieuw htprotect.app - Centraal sitebeheer voor meerdere Joomla-websites
Beveiligingslek

AcyMailing: SQL-injectie zonder login legt de database bloot

KritiekCVE-2026-56292
Kom nu in actie
Werk AcyMailing direct bij naar 10.11.1 of nieuwer – en vervang alle wachtwoorden als de site enige tijd ongepatcht online stond.
Veilige versie downloaden Naar de updatestappen

Veilige versie: AcyMailing 10.11.1 of nieuwer · via AcyMailing

In het kort

Getroffen extensie
AcyMailing – nieuwsbriefcomponent (com_acym)
Ontwikkelaar
Acyba
Type kwetsbaarheid
SQL-injectie zonder authenticatie via een openbaar frontend-endpoint; maakt het anoniem uitlezen van willekeurige databasetabellen mogelijk (gebruikersaccounts, wachtwoordhashes, content)
Getroffen versies
Versies 6.0.0 tot en met 10.11.0
Veilige versie
AcyMailing 10.11.1 of nieuwer   Downloaden
Ernst
Kritiek
CVE
CVE-2026-56292
Joomla-compatibiliteit
Joomla 3 / 4 / 5
Status / publicatie
Gepubliceerd/gepatcht: 9 juli 2026

Waar gaat het om?

AcyMailing (com_acym) verzorgt nieuwsbrieven en e-mailcampagnes in Joomla. Een openbaar – dus zonder inloggen – bereikbaar frontend-endpoint plaatste meegegeven parameters ongefilterd in een SQL-query, waardoor die query te manipuleren was (SQL-injectie).

Zo kan een aanvaller willekeurige databasetabellen uitlezen – bijvoorbeeld de gebruikerstabel met inlognamen en (gehashte) wachtwoorden, maar ook artikelen en interne configuratiegegevens. Het gaat alleen om leestoegang, maar die legt gevoelige gegevens bloot en baant de weg voor vervolgaanvallen, zoals het kraken van de wachtwoordhashes.

Kwetsbaar zijn de versies 6.0.0 tot en met 10.11.0. De oplossing is sinds 9 juli 2026 beschikbaar als 10.11.1. Het lek is geregistreerd als CVE-2026-56292.

Ben ik getroffen? – Zo controleer je het

  1. Open de backend

    Log in op het beheergedeelte van Joomla (administrator).

  2. Controleer de versie

    Filter onder Extensies›Beheren›Beheren op AcyMailing en lees het versienummer af.

  3. Beoordeel de versie

    Ligt de versie tussen 6.0.0 en 10.11.0, dan is actie nodig. Veilig is 10.11.1 of nieuwer.

  4. Schat het risico in

    Het uitlezen van gegevens laat nauwelijks zichtbare sporen na. Is de site langere tijd ongepatcht gebleven, ga er dan van uit dat wachtwoordhashes buitgemaakt kunnen zijn.

Zo dicht je het lek

Vóór elke update: maak een back-up
Zet je bestanden en database veilig voordat je updatet – dan kun je terug als er iets misgaat (bijvoorbeeld met Akeeba Backup of via je hostingprovider).
  1. Open het updatecentrum

    Ga naar Systeem›Bijwerken›Extensies en klik op Controleer op updates.

  2. AcyMailing bijwerken

    Selecteer het AcyMailing-item en werk bij naar 10.11.1 of nieuwer.

  3. Controleer de versie

    Ga daarna na of de nieuwe versie ook echt is doorgevoerd.

Handmatige installatie (alternatief)
Verschijnt er geen update, download het pakket dan vanuit je AcyMailing-account en installeer het via Extensies›Beheren›Installeren.
Veilige versie downloaden

Officiële bron: via AcyMailing. Zorg voor minimaal AcyMailing 10.11.1 of nieuwer.

Is de site al aangevallen?

Gegevens die al zijn uitgelezen, haalt geen update terug
De update stopt verdere toegang, maar maakt een uitlezing die al heeft plaatsgevonden niet ongedaan. Stond de site langere tijd ongepatcht online, vervang dan uit voorzorg alle wachtwoorden (Joomla-gebruikers, en zeker beheerders), beëindig actieve sessies en genereer – indien mogelijk – de geheime sleutels van Joomla opnieuw. Controleer daarnaast je gebruikerslijst op onbekende accounts.

Hulp nodig bij het opschonen? Geschikte specialisten vind je in de Joomla Service Providers Directory.

Bronnen & meer informatie

De officiële informatie van de betreffende ontwikkelaar is altijd leidend. Deze pagina vat openbaar beschikbare informatie neutraal samen.

Terug naar alle beveiligingslekken
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de