HTProtect.org
Независимый информационный сайт об уязвимостях Joomla
RU
HTProtect HTProtect JOOMLA SECURITY
Новинка htprotect.app - Централизованное управление несколькими сайтами на Joomla
htprotect.org Уязвимости & инструкции по обновлению
Новинка htprotect.app - Централизованное управление несколькими сайтами на Joomla
Уязвимость безопасности

Astroid Framework – критическая RCE-уязвимость Joomla

Критический Активно эксплуатируетсяCVE-2026-21628
Действуйте сейчас
Обновите Astroid до версии 3.3.13 или новее – а при подозрении на взлом дополнительно очистите сайт.
Скачать безопасную версию Перейти к шагам обновления

Безопасная версия: Astroid 3.3.13 или новее · direct download (GitHub, open source)

Коротко о главном

Уязвимое расширение
Astroid Framework (фреймворк шаблонов)
Разработчик
TemPlaza
Тип уязвимости
Загрузка файлов без аутентификации → удалённое выполнение кода (RCE); используется CSRF-токен с общедоступной страницы входа
Уязвимые версии
Astroid с 2.0.0 по 3.3.10
Безопасная версия
Astroid 3.3.13 или новее   Скачать
Уровень опасности
Критический · активно эксплуатируется
CVE
CVE-2026-21628
Совместимость с Joomla
Joomla 4 / 5 / 6
Актуально на / опубликовано
По состоянию на: 11 марта 2026 г.

В чём суть уязвимости?

Astroid Framework лежит в основе множества шаблонов Joomla. Уязвимость позволяет злоумышленникам загружать файлы на сервер без аутентификации. Для этого используется CSRF-токен, который можно считать с общедоступной страницы входа. В худшем случае это приводит к удалённому выполнению кода (Remote Code Execution).

Уязвимы версии с 2.0.0 по 3.3.10. Уязвимость зарегистрирована под идентификатором CVE-2026-21628. Она исправлена начиная с версии 3.3.11; рекомендуется обновление до 3.3.13 или новее.

Важно: если атака уже произошла, одного обновления версии недостаточно. На практике через так называемые файлы-дропперы (например, blp_9948.php) на сайт догружались плагины-бэкдоры вроде BLPayload или JCachePro – после обновления они остаются в системе.

Мой сайт уязвим? – Как это проверить

  1. Откройте админ-панель

    Войдите в панель управления Joomla.

  2. Проверьте версию Astroid

    Установленную версию можно посмотреть в разделе шаблонов (Система›Шаблоны) либо в Расширения›Управление›Управление, отфильтровав список по названию «Astroid».

  3. Оцените версию

    Если версия находится в диапазоне от 2.0.0 до 3.3.10, действовать нужно немедленно.

  4. Проверьте, нет ли бэкдоров

    Просмотрите каталог /plugins/system/ на предмет подозрительных записей вроде BLPayload или JCachePro, а также файлов, подходящих под шаблон blp_*.php.

Как закрыть уязвимость

Перед каждым обновлением: резервная копия
Сделайте резервную копию файлов и базы данных до обновления — так вы сможете вернуть сайт в рабочее состояние, если что-то пойдёт не так (например, через Akeeba Backup или панель вашего хостинга).
  1. Откройте центр обновлений

    Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.

  2. Обновите Astroid

    Выберите запись Astroid и обновите её до версии 3.3.13 или новее.

  3. Проверьте версию

    После этого убедитесь, что новая версия действительно установлена.

Установка вручную (альтернативный способ)
Как вариант, скачайте пакет из личного кабинета Astroid/TemPlaza и установите его через Расширения›Управление›Установка.
Скачать безопасную версию

Официальный источник: direct download (GitHub, open source). Убедитесь, что установлена версия не ниже Astroid 3.3.13 или новее.

Сайт уже взломали?

При взломе одного обновления недостаточно
Обновления не удаляют автоматически уже установленный вредоносный код. Обратите внимание на плагины BLPayload/JCachePro и файлы-дропперы (blp_*.php). В этом случае необходимы: полная очистка сайта, смена всех паролей (администратор Joomla, FTP/SSH, база данных) и проверка в Google Search Console.

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Ко всем уязвимостям
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de