HTProtect.org
Niezależny serwis informacyjny o lukach w zabezpieczeniach Joomla
PL
HTProtect HTProtect JOOMLA SECURITY
Nowość htprotect.app - Centralne zarządzanie wieloma stronami Joomla
htprotect.org Luki w zabezpieczeniach & instrukcje aktualizacji
Nowość htprotect.app - Centralne zarządzanie wieloma stronami Joomla
Luka w zabezpieczeniach

SP Page Builder – krytyczna luka zero-day, trwają ataki

Krytyczny Aktywnie wykorzystywanaCVE: Nie podano w artykule źródłowym
Działaj teraz
Natychmiast zaktualizuj SP Page Builder do wersji 6.6.2 – luka zero-day jest aktywnie wykorzystywana.
Pobierz bezpieczną wersję Przejdź do kroków aktualizacji

Bezpieczna wersja: SP Page Builder 6.6.2 (awaryjna aktualizacja) · via JoomShaper (account required)

W skrócie

Podatne rozszerzenie
SP Page Builder – kreator stron, komponent com_sppagebuilder
Producent
JoomShaper
Rodzaj luki
Wgrywanie plików bez uwierzytelnienia (funkcja asset.uploadCustomIcon nie sprawdzała ani logowania, ani typu pliku) → zdalne wykonanie kodu (RCE)
Podatne wersje
Cała linia 6.x do wersji 6.6.1 włącznie
Bezpieczna wersja
SP Page Builder 6.6.2 (awaryjna aktualizacja)   Pobierz
Poziom zagrożenia
Krytyczny · aktywnie wykorzystywana
CVE
Nie podano w artykule źródłowym
Zgodność z Joomla
Joomla 4 / 5 / 6
Stan na / publikacja
Stan na: 16 czerwca 2026

Na czym polega ta luka?

SP Page Builder firmy JoomShaper to jeden z najpopularniejszych kreatorów stron dla Joomla. Funkcja asset.uploadCustomIcon nie sprawdzała ani logowania, ani typu pliku. W efekcie bez zalogowania dało się wgrać i uruchomić złośliwy kod (zdalne wykonanie kodu, Remote Code Execution).

Podatna jest cała linia 6.x do wersji 6.6.1 włącznie. Lukę zamyka awaryjna aktualizacja 6.6.2. Sama luka ma status krytycznej podatności zero-day i jest już aktywnie wykorzystywana.

Typowe ślady ataku: ukryte konta superużytkownika (np. z adresami e-mail kończącymi się na @secure.local) oraz kilka backdoorów PHP. Aktualizacja zamyka jedynie drzwi wejściowe – utworzone wcześniej dostępy pozostają, dopóki ich nie usuniesz. Samo wyłączenie rozszerzenia nie chroni.

Czy ta luka dotyczy mojej strony? – Jak to sprawdzić

  1. Otwórz zaplecze

    Zaloguj się do panelu administracyjnego Joomla.

  2. Sprawdź wersję

    Otwórz Rozszerzenia›Zarządzaj›Zarządzaj i przefiltruj listę po nazwie „SP Page Builder”.

  3. Oceń wersję

    Jeśli zainstalowana wersja to 6.6.1 lub starsza, strona jest podatna. Bezpieczna jest 6.6.2.

  4. Poszukaj śladów włamania

    Sprawdź, czy nie ma superużytkowników z adresem @secure.local, i poszukaj obcych plików .php (m. in. w images/…/fonts/ oraz pliku users.php w katalogu /media/).

Jak załatać tę lukę

Przed każdą aktualizacją: kopia zapasowa
Przed aktualizacją wykonaj kopię zapasową plików i bazy danych – dzięki temu w razie problemów wrócisz do stanu sprzed zmian (np. przez Akeeba Backup lub panel hostingu).
  1. Otwórz centrum aktualizacji

    Przejdź do System›Aktualizacja›Rozszerzenia i kliknij Sprawdź aktualizacje.

  2. Zaktualizuj SP Page Builder

    Zaznacz pozycję na liście i zaktualizuj ją do wersji 6.6.2.

  3. Sprawdź wersję

    Upewnij się, że zainstalowana jest teraz wersja 6.6.2.

Instalacja ręczna (alternatywa)
Możesz też pobrać pakiet ze strony joomshaper.com i zainstalować go przez Rozszerzenia›Zarządzaj›Instaluj. Ważne: nie przywracaj starych plików.
Pobierz bezpieczną wersję

Oficjalne źródło: via JoomShaper (account required). Upewnij się, że masz co najmniej SP Page Builder 6.6.2 (awaryjna aktualizacja).

Czy strona została już zaatakowana?

Luka jest aktywnie wykorzystywana – sama aktualizacja nie wystarczy
Luka zostawia po sobie ukryte konta superużytkownika i kilka backdoorów PHP. Odszukaj je i usuń, zmień wszystkie hasła oraz zabezpiecz katalogi, do których trafiają wgrywane pliki (np. plikiem .htaccess, który blokuje w nich wykonywanie PHP). Samo wyłączenie rozszerzenia nie chroni.

Potrzebujesz pomocy przy usuwaniu skutków włamania? Wykwalifikowanych specjalistów znajdziesz w katalogu usługodawców Joomla.

Źródła & dalsze informacje

Wiążące są zawsze oficjalne informacje danego producenta. Ta strona w neutralny sposób podsumowuje ogólnodostępne informacje.

Powrót do wszystkich luk w zabezpieczeniach
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de