Уязвимость безопасности

AcyMailing: SQL-инъекция без аутентификации в Joomla

КритическийCVE-2026-56292

Действуйте сейчас

Немедленно обновите AcyMailing до версии 10.11.1 или новее — а если сайт какое-то время работал без исправления, дополнительно смените все пароли.

Скачать безопасную версию Перейти к шагам обновления

Безопасная версия: AcyMailing 10.11.1 или новее · via AcyMailing

Коротко о главном

Уязвимое расширение

AcyMailing — компонент рассылок (com_acym)

Разработчик

Acyba

Тип уязвимости

SQL-инъекция без аутентификации через общедоступный эндпоинт в публичной части сайта; позволяет анонимно читать любые таблицы базы данных (учётные записи, хеши паролей, содержимое)

Уязвимые версии

Версии с 6.0.0 по 10.11.0 включительно

Безопасная версия

AcyMailing 10.11.1 или новее Скачать

Уровень опасности

Критический

CVE

CVE-2026-56292

Совместимость с Joomla

Joomla 3 / 4 / 5

Актуально на / опубликовано

Опубликовано/исправлено: 9 июля 2026

В чём суть уязвимости?

AcyMailing (com_acym) отвечает за рассылки и email-кампании в Joomla. Эндпоинт в публичной части сайта — то есть доступный вообще без входа в систему — подставлял переданные параметры без фильтрации в SQL-запрос, из-за чего его можно было изменить (SQL-инъекция).

Так злоумышленник получает возможность прочитать любую таблицу базы данных — например, таблицу пользователей с логинами и (хешированными) паролями, а также статьи и внутренние настройки. Это доступ только на чтение, но он раскрывает конфиденциальные данные и готовит почву для дальнейших атак — в частности, для подбора паролей по хешам.

Уязвимы версии с 6.0.0 по 10.11.0 включительно. Исправление доступно с 9 июля 2026 года в версии 10.11.1. Уязвимость зарегистрирована под идентификатором CVE-2026-56292.

Мой сайт уязвим? – Как это проверить

Откройте панель администратора
Войдите в административную панель Joomla.
Проверьте версию
В разделе Расширения›Управление›Управление отфильтруйте список по AcyMailing и посмотрите номер версии.
Оцените версию
Если версия попадает в диапазон от 6.0.0 до 10.11.0, действовать нужно обязательно. Безопасна версия 10.11.1 или новее.
Оцените риск
Чтение данных почти не оставляет заметных следов. Если сайт долго работал без исправления, исходите из того, что хеши паролей могли утечь.

Как закрыть уязвимость

Перед каждым обновлением: резервная копия

Сделайте резервную копию файлов и базы данных до обновления — так вы сможете вернуть сайт в рабочее состояние, если что-то пойдёт не так (например, через Akeeba Backup или панель вашего хостинга).

Откройте центр обновлений
Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.
Обновите AcyMailing
Выберите запись AcyMailing и обновите её до версии 10.11.1 или новее.
Проверьте версию
После обновления убедитесь, что новая версия действительно установлена.

Установка вручную (альтернативный способ)

Если обновление не появляется, скачайте пакет в своём аккаунте AcyMailing и установите его через Расширения›Управление›Установка.

Скачать безопасную версию

Официальный источник: via AcyMailing. Убедитесь, что установлена версия не ниже AcyMailing 10.11.1 или новее.

Сайт уже взломали?

Уже прочитанные данные обновление не вернёт

Обновление перекрывает дальнейший доступ, но не отменяет чтение, которое уже состоялось. Если сайт какое-то время работал без исправления, смените на всякий случай все пароли (пользователей Joomla, в первую очередь администраторов), завершите активные сессии и — по возможности — сгенерируйте заново секретные ключи Joomla. Заодно просмотрите список пользователей — нет ли в нём незнакомых учётных записей.

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

Первоначальное сообщение — mySites.guruБюллетень с техническими подробностями
AcyMailing / Acyba (разработчик)Обновление доступно через менеджер обновлений Joomla или аккаунт AcyMailing
CVE-2026-56292 (CVE.org)Официальная запись CVE
Joomla Vulnerable Extensions List (VEL)Список уязвимых расширений, который ведёт сообщество

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Партнёры этого сайта

htprotect.org — бесплатный информационный проект, независимый от разработчиков. Нас поддерживают:

Хостинг & сообщество

FC-Hosting

Joomla-хостинг из Германии с активной поддержкой сообщества – обнаружил первую атаку на уязвимость в JCE.

fc-hosting.de

Инициатор & оператор

Website-Bereinigung.de

Специализируется на очистке, обслуживании и защите сайтов на Joomla и WordPress.

website-bereinigung.de

Поддержать этот проект

Вы предоставляете услуги хостинга или работаете с Joomla и хотите поддержать htprotect.org – и быть указанным здесь среди партнёров? Любая поддержка помогает быстрее предупреждать и защищать тех, кого это коснулось.

Предпочитаете поддержать частным образом, без упоминания? Небольшой взнос в копилку на кофе порадует нас не меньше.

Поддержать HTProtect сейчас

Bauschild & Service

Изготовление и монтаж строительных щитов, строительных ограждений и фасадных решений – включая дизайн и 3D-визуализацию.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Профессиональная ИТ-поддержка из Чехии – управление Windows, администрирование доменов и веб-хостинг.

defendersoft.cz

onlineweg.de

Туристический портал из Германии – пакетные туры, отели и авиабилеты онлайн, с личной консультацией турагентства.

onlineweg.de

Criadero

Креативное агентство из Бранденбурга – веб-дизайн, полиграфия, фотосъёмка и панорамы 360°, всё от одного исполнителя.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

ИТ-услуги из города Wächtersbach – сайты на Joomla, обслуживание ПК, аппаратное и программное обеспечение.

jahnedv.de

IsariConsult

Консалтинг по информационной безопасности из Берлина – анализ защищённости, управление рисками и ISO 27001 для малого и среднего бизнеса.

isari-consult.de

Schippelbein Mediengestaltung

Медиадизайн из Фридрихсхафена – сайты на Joomla и WordPress, интернет-магазины, графика и 3D.

schippelbein.com