Helix Ultimate – kritiska säkerhetsbrister utan inloggning
Säker version: Helix Ultimate 2.2.8 eller senare · free download via JoomShaper
I korthet
Vad handlar det om?
Helix Ultimate är JoomShapers aktuella mallramverk – en mall tillsammans med ett systemplugin. Det registrerar en AJAX-hanterare som Joomla kör via standardslutpunkten com_ajax även för helt oinloggade besökare. Före version 2.2.7 utförde flera av dessa åtgärder sitt arbete utan att först kontrollera inloggning eller behörighet.
Allvarligast är en skrivåtkomst till menyinställningarna utan inloggning: eftersom menyinnehållet inte sanerades före utmatning går det att permanent lagra skadligt skript som sedan körs i besökarnas webbläsare – och till och med i administratörens session (lagrad XSS). Till det kommer en path traversal-brist som gjorde att filraderingar kunde nå var som helst i Joomla-katalogen, en öppen omdirigering och en oskyddad mallexport.
Rättningen finns sedan den 7 juli 2026 som Helix Ultimate 2.2.7; den återinför de saknade kontrollerna av inloggning och behörighet i samtliga AJAX-åtgärder, begränsar filsökvägarna, validerar omdirigeringar och sanerar menyns utmatning. Kort därefter kom 2.2.8 med en mindre kompletterande rättning – uppdatera därför direkt till 2.2.8 eller senare. Eftersom det varken fanns 2.2.5 eller 2.2.6 är alla äldre versioner berörda – många installationer kör fortfarande 2.1-serien eller till och med 1.1-serien. Något CVE-nummer har hittills inte tilldelats.
Är jag drabbad? – så här kontrollerar du
- Öppna administrationen
Logga in i Joomlas administrationsgränssnitt (adressen slutar med
/administrator). - Gå till Tillägg
Öppna Tillägg›Hantera›Hantera och filtrera på
Helix Ultimate. - Läs av versionen
Läs av den installerade versionen. Är den lägre än 2.2.8 bör du uppdatera – versioner före 2.2.7 är akut sårbara.
- Leta efter spår
Kontrollera menyer och inställningarna för megamenyn efter länkar eller skript som du inte har lagt in själv, och användarlistan efter okända superanvändarkonton.
Så åtgärdar du säkerhetsbristen
- Öppna uppdateringsvyn
Gå till System›Uppdatera›Tillägg och klicka på Sök efter uppdateringar.
- Uppdatera alla Helix Ultimate-delar
Uppdatera varje Helix Ultimate-post som erbjuds till 2.2.8 eller senare (systemplugin och mall, eventuellt även en installerare för mallen) – inte bara en av dem.
- Kontrollera resultatet
Kontrollera sedan att 2.2.8 (eller senare) visas överallt.
Officiell källa: free download via JoomShaper. Se till att du har minst Helix Ultimate 2.2.8 eller senare.
Har webbplatsen redan blivit hackad?
.htaccess, index.html) finns kvar och om inställningarna för mallstilarna har ändrats. Hittar du något: säkra bevisen först, sanera sedan hela webbplatsen och byt alla lösenord och nycklar.Behöver du hjälp med saneringen? Du hittar kunniga specialister i Joomlas katalog över tjänsteleverantörer.
Källor & mer information
- Detaljerad analys – Website-Bereinigung.deBakgrund och sanering
- Ursprunglig rapport – mySites.guruSäkerhetsmeddelandet som bekräftade bristen
- Joomla Vulnerable Extensions List (VEL)Community-driven lista över sårbara tillägg
Det är alltid respektive utvecklares officiella uppgifter som gäller. Den här sidan sammanfattar offentligt tillgänglig information på ett neutralt sätt.
Supporters of this site
htprotect.org is a free, vendor-independent information service. It is supported by:
Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.
fc-hosting.de
Specialised in cleaning, maintaining and securing Joomla and WordPress websites.
website-bereinigung.deSupport this project
You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.
Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.
Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.
bauschildundservice.deProfessional IT support from Czechia – Windows management, domain administration and web hosting.
defendersoft.cz
Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.
onlineweg.de
Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.
criadero.deIT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.
jahnedv.de
Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.
isari-consult.de