Уязвимость безопасности

Balbooa Forms — критическая уязвимость загрузки файлов

Критический Активно эксплуатируетсяCVE-2026-56291

Действуйте сейчас

Немедленно обновите Balbooa Forms до версии 2.4.1 или новее — а при подозрении на взлом дополнительно очистите сайт.

Скачать безопасную версию Перейти к шагам обновления

Безопасная версия: Balbooa Forms 2.4.1 или новее · via Balbooa

Коротко о главном

Уязвимое расширение

Balbooa Forms — расширение для форм (com_baforms)

Разработчик

Balbooa

Тип уязвимости

Загрузка файлов без аутентификации через форму на сайте → удалённое выполнение кода (RCE); ни входа в систему, ни проверки токена или типа файла

Уязвимые версии

Все версии до 2.4.0 включительно

Безопасная версия

Balbooa Forms 2.4.1 или новее Скачать

Уровень опасности

Критический · активно эксплуатируется

CVE

CVE-2026-56291

Совместимость с Joomla

Joomla 4 / 5 / 6

Актуально на / опубликовано

Опубликовано/исправлено: 9 июля 2026

В чём суть уязвимости?

Balbooa Forms (com_baforms) создаёт для Joomla контактные и регистрационные формы. Формы умеют принимать вложения — и именно этот путь загрузки остался незащищённым: запрос из публичной части сайта, который сохраняет вложение, можно было вызвать без входа в систему, причём он не проверял ни токен безопасности (CSRF), ни тип файла.

В результате злоумышленник может загрузить исполняемый PHP-файл. Файл попадает в общедоступный подкаталог папки загрузок, после чего его достаточно открыть прямо в браузере — внедрённый код выполняется на сервере (удалённое выполнение кода). С этого момента сайт можно захватить полностью.

Уязвимы все версии до 2.4.0 включительно. Исправление доступно с 9 июля 2026 года в версии 2.4.1, которая добавляет недостающие проверки. Уязвимости присвоен идентификатор CVE-2026-56291; по данным отчёта, она уже эксплуатируется в реальных атаках, при этом общедоступный код эксплойта не публиковался.

Мой сайт уязвим? – Как это проверить

Откройте панель управления
Войдите в административный раздел Joomla.
Проверьте версию
В разделе Расширения›Управление›Управление отфильтруйте список по Balbooa Forms и посмотрите номер версии.
Оцените версию
Если установлена версия 2.4.0 или более ранняя, действовать нужно немедленно.
Поищите следы взлома
Проверьте папку images/baforms/uploads/ на посторонние файлы .php, а список пользователей — на неизвестные учётные записи администраторов.

Как закрыть уязвимость

Перед каждым обновлением: резервная копия

Сделайте резервную копию файлов и базы данных до обновления — так вы сможете вернуть сайт в рабочее состояние, если что-то пойдёт не так (например, через Akeeba Backup или панель вашего хостинга).

Откройте центр обновлений
Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.
Обновите Balbooa Forms
Выберите нужную запись и обновите её до версии 2.4.1 или новее.
Проверьте версию
После этого убедитесь, что новая версия действительно установлена.

Установка вручную (альтернативный способ)

Если обновление не появляется, скачайте пакет в своём аккаунте Balbooa и установите его через Расширения›Управление›Установка.

Скачать безопасную версию

Официальный источник: via Balbooa. Убедитесь, что установлена версия не ниже Balbooa Forms 2.4.1 или новее.

Сайт уже взломали?

Если сайт уже взломан, обновления недостаточно

Обновление закрывает уязвимость, но не удаляет уже загруженный вредоносный код. Проверьте images/baforms/uploads/ и соседние папки на посторонние файлы .php, просмотрите список пользователей на предмет новых суперпользователей и, если что-то нашлось, смените все пароли (администратор Joomla, FTP/SSH, база данных). При малейших сомнениях поручите очистку сайта специалистам.

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

Первоисточник — mySites.guruБюллетень безопасности с техническими подробностями
Balbooa (разработчик)Обновление доступно через менеджер обновлений Joomla или аккаунт Balbooa
CVE-2026-56291 (CVE.org)Официальная запись CVE
Joomla Vulnerable Extensions List (VEL)Список уязвимых расширений, который ведёт сообщество

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Ко всем уязвимостям

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de