Helix Ultimate – kritiska säkerhetsbrister utan inloggning
Säker version: Helix Ultimate 2.2.8 eller senare · free download via JoomShaper
I korthet
Vad handlar det om?
Helix Ultimate är JoomShapers aktuella mallramverk – en mall tillsammans med ett systemplugin. Det registrerar en AJAX-hanterare som Joomla kör via standardslutpunkten com_ajax även för helt oinloggade besökare. Före version 2.2.7 utförde flera av dessa åtgärder sitt arbete utan att först kontrollera inloggning eller behörighet.
Allvarligast är en skrivåtkomst till menyinställningarna utan inloggning: eftersom menyinnehållet inte sanerades före utmatning går det att permanent lagra skadligt skript som sedan körs i besökarnas webbläsare – och till och med i administratörens session (lagrad XSS). Till det kommer en path traversal-brist som gjorde att filraderingar kunde nå var som helst i Joomla-katalogen, en öppen omdirigering och en oskyddad mallexport.
Rättningen finns sedan den 7 juli 2026 som Helix Ultimate 2.2.7; den återinför de saknade kontrollerna av inloggning och behörighet i samtliga AJAX-åtgärder, begränsar filsökvägarna, validerar omdirigeringar och sanerar menyns utmatning. Kort därefter kom 2.2.8 med en mindre kompletterande rättning – uppdatera därför direkt till 2.2.8 eller senare. Eftersom det varken fanns 2.2.5 eller 2.2.6 är alla äldre versioner berörda – många installationer kör fortfarande 2.1-serien eller till och med 1.1-serien. Något CVE-nummer har hittills inte tilldelats.
Är jag drabbad? – så här kontrollerar du
- Öppna administrationen
Logga in i Joomlas administrationsgränssnitt (adressen slutar med
/administrator). - Gå till Tillägg
Öppna Tillägg›Hantera›Hantera och filtrera på
Helix Ultimate. - Läs av versionen
Läs av den installerade versionen. Är den lägre än 2.2.8 bör du uppdatera – versioner före 2.2.7 är akut sårbara.
- Leta efter spår
Kontrollera menyer och inställningarna för megamenyn efter länkar eller skript som du inte har lagt in själv, och användarlistan efter okända superanvändarkonton.
Så åtgärdar du säkerhetsbristen
- Öppna uppdateringsvyn
Gå till System›Uppdatera›Tillägg och klicka på Sök efter uppdateringar.
- Uppdatera alla Helix Ultimate-delar
Uppdatera varje Helix Ultimate-post som erbjuds till 2.2.8 eller senare (systemplugin och mall, eventuellt även en installerare för mallen) – inte bara en av dem.
- Kontrollera resultatet
Kontrollera sedan att 2.2.8 (eller senare) visas överallt.
Officiell källa: free download via JoomShaper. Se till att du har minst Helix Ultimate 2.2.8 eller senare.
Har webbplatsen redan blivit hackad?
.htaccess, index.html) finns kvar och om inställningarna för mallstilarna har ändrats. Hittar du något: säkra bevisen först, sanera sedan hela webbplatsen och byt alla lösenord och nycklar.Behöver du hjälp med saneringen? Du hittar kunniga specialister i Joomlas katalog över tjänsteleverantörer.
Källor & mer information
- Detaljerad analys – Website-Bereinigung.deBakgrund och sanering
- Ursprunglig rapport – mySites.guruSäkerhetsmeddelandet som bekräftade bristen
- Joomla Vulnerable Extensions List (VEL)Community-driven lista över sårbara tillägg
Det är alltid respektive utvecklares officiella uppgifter som gäller. Den här sidan sammanfattar offentligt tillgänglig information på ett neutralt sätt.
Liknande säkerhetsbrister
Andra tillägg med jämförbara svagheter. Kontrollera om något av dem är installerat på din webbplats.
Stödjare av den här sidan
htprotect.org är en kostnadsfri och utvecklaroberoende informationstjänst. Sidan stöds av:
Joomla-webbhotell från Tyskland med aktiv community-support – upptäckte den första attacken mot säkerhetsbristen i JCE.
fc-hosting.de
Specialiserade på sanering, underhåll och säkring av Joomla- och WordPress-webbplatser.
website-bereinigung.deStöd det här projektet
Driver du en hosting- eller Joomla-tjänst och vill stötta htprotect.org – och synas här som stödjare? Varje bidrag hjälper oss att varna och skydda drabbade snabbare.
Vill du hellre bidra privat, utan att nämnas? Ett litet bidrag till kaffekassan är lika välkommet.
Tillverkning och montering av byggskyltar, byggstängsel och fasadlösningar – inklusive design och 3D-visualisering.
bauschildundservice.deProfessionell IT-support från Tjeckien – Windows-hantering, domänadministration och webbhotell.
defendersoft.cz
Reseportal från Tyskland – paketresor, hotell och flyg online, med personlig rådgivning från resebyrå.
onlineweg.de
Kreativbyrå från Brandenburg – webbdesign, trycksaker, fotografi och 360°-panoraman från en och samma leverantör.
criadero.deIT-leverantör från Wächtersbach – Joomla-webbplatser, PC-service, hårdvara och mjukvara.
jahnedv.de
Rådgivning inom informationssäkerhet från Berlin – säkerhetsanalyser, riskhantering och ISO 27001 för små och medelstora företag.
isari-consult.de