Уязвимость безопасности

Helix Ultimate до 2.2.7: критическая уязвимость Joomla

КритическийCVE: Номер CVE не присвоен (обнаружено: mySites.guru)

Действуйте сейчас

Немедленно обновите Helix Ultimate до версии 2.2.8 или новее — установите при этом все составляющие Helix Ultimate: системный плагин и шаблон.

Скачать безопасную версию Перейти к шагам обновления

Безопасная версия: Helix Ultimate 2.2.8 или новее · free download via JoomShaper

Коротко о главном

Уязвимое расширение

Helix Ultimate — шаблон & системный плагин (JoomShaper)

Разработчик

JoomShaper

Тип уязвимости

Несколько AJAX-действий без аутентификации и без проверки прав: запись в меню (хранимый XSS), удаление файлов через path traversal, открытое перенаправление и незащищённый экспорт шаблона

Уязвимые версии

Все версии до 2.2.7

Безопасная версия

Helix Ultimate 2.2.8 или новее Скачать

Уровень опасности

Критический

CVE

Номер CVE не присвоен (обнаружено: mySites.guru)

Совместимость с Joomla

Joomla 4 / 5 / 6

Актуально на / опубликовано

Опубликовано/исправлено: 7 июля 2026

В чём суть уязвимости?

Helix Ultimate — актуальный фреймворк шаблонов JoomShaper: шаблон вместе с системным плагином. Он регистрирует AJAX-обработчик, который Joomla выполняет через стандартный эндпоинт com_ajax даже для полностью анонимных посетителей. До версии 2.2.7 некоторые из этих действий делали свою работу, не проверяя ни вход в систему, ни права доступа.

Тяжелее всего — запись в настройки меню без аутентификации: содержимое меню не очищалось перед выводом, поэтому через него можно навсегда сохранить вредоносный скрипт, который затем выполняется в браузерах посетителей и даже в сессии администратора (хранимый XSS). К этому добавляются уязвимость типа path traversal, из-за которой удаление файлов могло дотянуться до любого места внутри каталога Joomla, открытое перенаправление и незащищённый экспорт шаблона.

Исправление доступно с 7 июля 2026 года в виде версии Helix Ultimate 2.2.7: она возвращает недостающие проверки входа и прав во все AJAX-действия, ограничивает пути к файлам, проверяет перенаправления и очищает вывод меню. Вскоре вышла 2.2.8 с небольшой доработкой — поэтому обновляйтесь сразу до 2.2.8 или новее. Поскольку версий 2.2.5 и 2.2.6 не существовало, уязвима любая более ранняя версия — многие сайты до сих пор работают на ветке 2.1 или даже 1.1. Номер CVE пока не присвоен.

Helix Ultimate — это не Helix3

Helix Ultimate — более новый фреймворк шаблонов с собственной кодовой базой и нумерацией версий. Helix3 — отдельный, более старый продукт со своей уязвимостью и своим исправлением; не путайте их.

О прозрачности обновлений

В менеджере обновлений Joomla часто стоит лишь ничего не говорящая строка «Security Update» — без указания степени опасности. Не полагайтесь на список изменений: обновления, связанные с безопасностью, ставьте сразу же.

Мой сайт уязвим? – Как это проверить

Откройте панель управления
Войдите в панель управления Joomla (адрес заканчивается на /administrator).
Перейдите к расширениям
Откройте Расширения›Управление›Управление и отфильтруйте список по Helix Ultimate.
Проверьте версию
Посмотрите установленную версию. Если она ниже 2.2.8, обновите расширение — версии до 2.2.7 уязвимы прямо сейчас.
Поищите следы взлома
Проверьте меню и настройки мегаменю на посторонние ссылки и скрипты, а список пользователей — на неизвестные учётные записи суперпользователя.

Как закрыть уязвимость

Перед каждым обновлением: резервная копия

Сделайте резервную копию файлов и базы данных до обновления — так вы сможете вернуть сайт в рабочее состояние, если что-то пойдёт не так (например, через Akeeba Backup или панель вашего хостинга).

Откройте центр обновлений
Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.
Обновите все составляющие Helix Ultimate
Обновите каждую предложенную запись Helix Ultimate до версии 2.2.8 или новее (системный плагин и шаблон, при наличии — установщик шаблона), а не только одну из них.
Убедитесь, что обновление прошло
После этого проверьте, что везде отображается версия 2.2.8 (или новее).

Установка вручную (альтернативный способ)

Если обновление не предлагается, скачайте пакет из своей учётной записи JoomShaper и установите его через Расширения›Управление›Установка. Просто отключить плагин недостаточно — файлы остаются на сервере, и AJAX-эндпоинт по-прежнему доступен.

Скачать безопасную версию

Официальный источник: free download via JoomShaper. Убедитесь, что установлена версия не ниже Helix Ultimate 2.2.8 или новее.

Сайт уже взломали?

Обновление не отменяет уже случившийся взлом

Обновление останавливает новые попытки, но ничего не возвращает назад. После обновления проверьте: меню и мегаменю — на подброшенные ссылки и разметку, список пользователей — на неизвестных суперпользователей, на месте ли защитные файлы (.htaccess, index.html) и не менялись ли настройки стиля шаблона. Если что-то нашлось, сначала сохраните доказательства, затем полностью очистите сайт и смените все пароли и секретные ключи.

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

Подробный разбор — Website-Bereinigung.deПредыстория и очистка сайта
Первоначальное сообщение — mySites.guruПубликация, подтвердившая уязвимость
Joomla Vulnerable Extensions List (VEL)Список уязвимых расширений, который ведёт сообщество

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Ко всем уязвимостям

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de