Astroid Framework: vulnerabilidade crítica de RCE (upload)

Em resumo

Do que se trata?

O Astroid Framework é a base de inúmeros templates do Joomla. A vulnerabilidade permite que invasores façam upload de arquivos para o servidor sem autenticação. Para isso, abusam de um token CSRF que pode ser lido na página de login, acessível publicamente. No pior caso, isso abre caminho para a execução remota de código (Remote Code Execution).

Estão vulneráveis as versões 2.0.0 a 3.3.10. A vulnerabilidade está registrada como CVE-2026-21628. Ela foi corrigida a partir da versão 3.3.11; ainda assim, recomenda-se atualizar para a 3.3.13 ou superior.

Importante: se o ataque já aconteceu, só atualizar a versão não resolve. Na prática, os chamados arquivos dropper (por exemplo, blp_9948.php) foram usados para baixar plugins de backdoor como BLPayload ou JCachePro – que continuam no site mesmo depois da atualização.

Meu site foi afetado? – Como verificar

1. Abra o backend

   Faça login no administrador do Joomla.

2. Verifique a versão do Astroid

   Você encontra a versão instalada na área de modelos (Sistema›Modelos) ou em Extensões›Gerenciar›Gerenciar, filtrando por “Astroid”.

3. Avalie a versão

   Se a versão estiver entre a 2.0.0 e a 3.3.10, é preciso agir imediatamente.

4. Procure por backdoors

   Verifique em /plugins/system/ se há entradas suspeitas como BLPayload ou JCachePro, além de arquivos que sigam o padrão blp_*.php.

Como corrigir a vulnerabilidade

1. Abra a central de atualizações

   Vá em Sistema›Atualizar›Extensões e clique em Verificar Atualizações.

2. Atualize o Astroid

   Selecione o item do Astroid e atualize para a 3.3.13 ou superior.

3. Confira a versão

   Em seguida, verifique se a nova versão foi mesmo aplicada.

Download oficial: direct download (GitHub, open source). Certifique-se de ter pelo menos Astroid 3.3.13 ou superior.

Seu site já foi atacado?

Precisa de ajuda com a limpeza? Você encontra profissionais qualificados no Diretório de Prestadores de Serviços do Joomla.

Fontes & mais informações

• Análise detalhada – Website-Bereinigung.deContexto, indicadores de backdoor e limpeza
• CVE-2026-21628 (CVE.org)Registro oficial do CVE
• Astroid Framework no Joomla Extensions Directory (TemPlaza)Página oficial do fabricante no diretório

As informações oficiais de cada desenvolvedor sempre prevalecem. Esta página reúne de forma neutra informações disponíveis publicamente.

Vulnerabilidades relacionadas

Outras extensões com vulnerabilidades semelhantes. Verifique se alguma delas está instalada no seu site.

Apoiadores deste site

O htprotect.org é um serviço de informação gratuito e independente de qualquer desenvolvedor. Ele conta com o apoio de:

Hospedagem & comunidade

FC-Hosting

Empresa de hospedagem Joomla da Alemanha, com suporte ativo da comunidade – detectou o primeiro ataque à vulnerabilidade do JCE.

fc-hosting.de

Idealizador & mantenedor

Website-Bereinigung.de

Especializada em limpeza, manutenção e proteção de sites Joomla e WordPress.

website-bereinigung.de

Bauschild & Service

Fabricação e instalação de placas de obra, tapumes e soluções de fachada – incluindo design e visualização em 3D.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Suporte de TI profissional da República Tcheca – gestão de Windows, administração de domínios e hospedagem de sites.

defendersoft.cz

onlineweg.de

Portal de viagens da Alemanha – pacotes de viagem, hotéis e passagens aéreas on-line, com atendimento personalizado de agência de viagens.

onlineweg.de

Criadero

Agência de criação de Brandenburg – webdesign, materiais impressos, fotografia e panoramas em 360°, tudo em um só lugar.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Prestadora de serviços de TI de Wächtersbach – sites em Joomla, assistência técnica de computadores, hardware e software.

jahnedv.de

IsariConsult

Consultoria em segurança da informação de Berlin – análises de segurança, gestão de riscos e ISO 27001 para pequenas e médias empresas.

isari-consult.de