SP Page Builder: 0-day RCE-уязвимость Joomla, атаки идут

Коротко о главном

В чём суть уязвимости?

SP Page Builder от JoomShaper — один из самых распространённых конструкторов страниц для Joomla. Функция asset.uploadCustomIcon не проверяла ни аутентификацию пользователя, ни тип файла. Из-за этого вредоносный код можно было загрузить и выполнить без входа в систему (удалённое выполнение кода, Remote Code Execution).

Уязвима вся ветка 6.x вплоть до версии 6.7.1 включительно. Помимо загрузки файлов обнаружилась вторая, отдельная уязвимость — SQL-инъекция без аутентификации через эндпоинт «Загрузить ещё» (CVE-2026-65876), позволявшая читать базу данных. Прежнее экстренное обновление 6.6.2 закрывало только загрузку файлов; безопасна лишь версия 6.8.0. Уязвимость классифицируется как критическая 0-day и уже активно эксплуатируется.

Типичные следы атаки: скрытые учётные записи суперпользователей (например, с адресами электронной почты, оканчивающимися на @secure.local) и несколько PHP-бэкдоров. Обновление закрывает только входную дверь — уже созданные доступы сохраняются, пока их не удалят. Простое отключение расширения не защищает.

Мой сайт уязвим? – Как это проверить

1. Откройте панель управления

   Войдите в административный раздел Joomla.

2. Проверьте версию

   Откройте Расширения›Управление›Управление и отфильтруйте список по запросу «SP Page Builder».

3. Оцените версию

   Если установлена версия 6.7.1 или ниже, сайт уязвим. Безопасна только версия 6.8.0.

4. Проверьте следы взлома

   Поищите суперпользователей с адресом @secure.local, а также посторонние файлы .php (в частности, в каталоге images/…/fonts/ и файл users.php в /media/).

Как закрыть уязвимость

1. Откройте центр обновлений

   Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.

2. Обновите SP Page Builder

   Выберите нужную запись и обновите расширение до версии 6.8.0 или новее.

3. Проверьте версию

   Убедитесь, что теперь установлена версия не ниже 6.8.0.

Официальный источник: via JoomShaper (account required). Убедитесь, что установлена версия не ниже SP Page Builder 6.8.0 — версии 6.6.2 уже недостаточно.

Сайт уже взломали?

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

• Подробный разбор — Website-Bereinigung.deСледы атаки, усиление защиты, очистка
• JoomShaper (разработчик)Где получить безопасную версию 6.8.0

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Похожие уязвимости

Другие расширения со схожими уязвимостями. Проверьте, не установлено ли какое-либо из них на вашем сайте.

Партнёры этого сайта

htprotect.org — бесплатный информационный проект, независимый от разработчиков. Нас поддерживают:

Хостинг & сообщество

FC-Hosting

Joomla-хостинг из Германии с активной поддержкой сообщества – обнаружил первую атаку на уязвимость в JCE.

fc-hosting.de

Инициатор & оператор

Website-Bereinigung.de

Специализируется на очистке, обслуживании и защите сайтов на Joomla и WordPress.

website-bereinigung.de

Bauschild & Service

Изготовление и монтаж строительных щитов, строительных ограждений и фасадных решений – включая дизайн и 3D-визуализацию.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Профессиональная ИТ-поддержка из Чехии – управление Windows, администрирование доменов и веб-хостинг.

defendersoft.cz

onlineweg.de

Туристический портал из Германии – пакетные туры, отели и авиабилеты онлайн, с личной консультацией турагентства.

onlineweg.de

Criadero

Креативное агентство из Бранденбурга – веб-дизайн, полиграфия, фотосъёмка и панорамы 360°, всё от одного исполнителя.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

ИТ-услуги из города Wächtersbach – сайты на Joomla, обслуживание ПК, аппаратное и программное обеспечение.

jahnedv.de

IsariConsult

Консалтинг по информационной безопасности из Берлина – анализ защищённости, управление рисками и ISO 27001 для малого и среднего бизнеса.

isari-consult.de