Luka w zabezpieczeniach

AcyMailing – luka w zabezpieczeniach Joomla: SQL injection

KrytycznyCVE-2026-56292

Działaj teraz

Zaktualizuj AcyMailing natychmiast do wersji 10.11.1 lub nowszej – jeśli strona działała dłużej bez poprawki, zmień dodatkowo wszystkie hasła.

Pobierz bezpieczną wersję Przejdź do kroków aktualizacji

Bezpieczna wersja: AcyMailing 10.11.1 lub nowszy · via AcyMailing

W skrócie

Podatne rozszerzenie

AcyMailing – komponent do newsletterów (com_acym)

Producent

Acyba

Rodzaj luki

SQL injection bez uwierzytelnienia przez publiczny endpoint we frontendzie; pozwala anonimowo odczytać dowolną tabelę bazy danych (konta użytkowników, skróty haseł, treści)

Podatne wersje

AcyMailing od 6.0.0 do 10.11.0 włącznie

Bezpieczna wersja

AcyMailing 10.11.1 lub nowszy Pobierz

Poziom zagrożenia

Krytyczny

CVE

CVE-2026-56292

Zgodność z Joomla

Joomla 3 / 4 / 5

Stan na / publikacja

Opublikowano/załatano: 9 lipca 2026

Na czym polega ta luka?

AcyMailing (com_acym) obsługuje newslettery i kampanie e-mail w Joomla. Publicznie dostępny – czyli działający bez żadnego logowania – endpoint we frontendzie wstawiał przekazane parametry bez filtrowania do zapytania SQL, przez co dało się to zapytanie zmanipulować (SQL injection).

Tą drogą atakujący może odczytać dowolną tabelę bazy danych – na przykład tabelę użytkowników z loginami i hasłami (w postaci skrótów), ale też artykuły i wewnętrzne dane konfiguracyjne. To wyłącznie dostęp do odczytu, ujawnia jednak dane wrażliwe i przygotowuje grunt pod kolejne ataki, takie jak łamanie skrótów haseł.

Podatne są wersje od 6.0.0 do 10.11.0 włącznie. Poprawka jest dostępna od 9 lipca 2026 jako wersja 10.11.1. Luka ma identyfikator CVE-2026-56292.

Czy ta luka dotyczy mojej strony? – Jak to sprawdzić

Otwórz zaplecze
Zaloguj się do panelu administracyjnego Joomla.
Sprawdź wersję
W Rozszerzenia›Zarządzaj›Zarządzaj odfiltruj AcyMailing i odczytaj numer wersji.
Oceń wersję
Jeśli wersja mieści się w przedziale od 6.0.0 do 10.11.0, trzeba działać. Bezpieczna jest 10.11.1 lub nowsza.
Oszacuj ryzyko
Sam odczyt danych nie zostawia praktycznie żadnych widocznych śladów. Jeśli strona długo działała bez poprawki, przyjmij, że skróty haseł mogły wyciec.

Jak załatać tę lukę

Przed każdą aktualizacją: kopia zapasowa

Przed aktualizacją wykonaj kopię zapasową plików i bazy danych – dzięki temu w razie problemów wrócisz do stanu sprzed zmian (np. przez Akeeba Backup lub panel hostingu).

Otwórz centrum aktualizacji
Przejdź do System›Aktualizacja›Rozszerzenia i kliknij Sprawdź aktualizacje.
Zaktualizuj AcyMailing
Zaznacz wpis i zaktualizuj rozszerzenie do wersji 10.11.1 lub nowszej.
Zweryfikuj wersję
Na koniec sprawdź, czy nowa wersja rzeczywiście została zainstalowana.

Instalacja ręczna (alternatywa)

Jeśli aktualizacja się nie pojawia, pobierz pakiet ze swojego konta AcyMailing i zainstaluj go przez Rozszerzenia›Zarządzaj›Instaluj.

Pobierz bezpieczną wersję

Oficjalne źródło: via AcyMailing. Upewnij się, że masz co najmniej AcyMailing 10.11.1 lub nowszy.

Czy strona została już zaatakowana?

Odczytanych danych żadna aktualizacja nie cofnie

Aktualizacja blokuje kolejne próby dostępu, ale nie odwraca odczytu, który już nastąpił. Jeśli strona przez dłuższy czas działała bez poprawki, zmień prewencyjnie wszystkie hasła (użytkowników Joomla, zwłaszcza administratorów), zakończ aktywne sesje i – jeśli to możliwe – wygeneruj na nowo tajne klucze Joomla. Sprawdź też listę użytkowników pod kątem nieznanych kont.

Potrzebujesz pomocy przy usuwaniu skutków włamania? Wykwalifikowanych specjalistów znajdziesz w katalogu usługodawców Joomla.

Źródła & dalsze informacje

Pierwotne zgłoszenie – mySites.guruKomunikat z technicznymi szczegółami
AcyMailing / Acyba (producent)Aktualizację pobierzesz przez centrum aktualizacji Joomla lub ze swojego konta AcyMailing
CVE-2026-56292 (CVE.org)Oficjalny wpis CVE
Joomla Vulnerable Extensions List (VEL)Prowadzona przez społeczność lista podatnych rozszerzeń

Wiążące są zawsze oficjalne informacje danego producenta. Ta strona w neutralny sposób podsumowuje ogólnodostępne informacje.

Powrót do wszystkich luk w zabezpieczeniach

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de