HTProtect.org
เว็บไซต์ข้อมูลอิสระเกี่ยวกับช่องโหว่ความปลอดภัยของ Joomla
TH
HTProtect HTProtect JOOMLA SECURITY
ใหม่ htprotect.app - จัดการเว็บไซต์ Joomla หลายแห่งจากศูนย์กลางเดียว
htprotect.org ช่องโหว่ความปลอดภัย & คู่มืออัปเดต
ใหม่ htprotect.app - จัดการเว็บไซต์ Joomla หลายแห่งจากศูนย์กลางเดียว
ช่องโหว่ความปลอดภัย

Balbooa Forms – ช่องโหว่อัปโหลดไฟล์ร้ายแรง รันโค้ดได้ (RCE)

วิกฤต ถูกใช้โจมตีจริงแล้วCVE-2026-56291
ดำเนินการทันที
อัปเดต Balbooa Forms เป็น 2.4.1 ขึ้นไป ทันที – และหากสงสัยว่าเว็บไซต์ถูกแฮกแล้ว ต้องล้างมัลแวร์ออกให้หมดด้วย
ดาวน์โหลดเวอร์ชันที่ปลอดภัย ไปที่ขั้นตอนการอัปเดต

เวอร์ชันที่ปลอดภัย: Balbooa Forms 2.4.1 ขึ้นไป · via Balbooa

สรุปข้อมูลสำคัญ

ส่วนเสริมที่ได้รับผลกระทบ
Balbooa Forms – ส่วนเสริมสร้างฟอร์ม (com_baforms)
ผู้พัฒนา
Balbooa
ประเภทของช่องโหว่
อัปโหลดไฟล์ได้โดยไม่ต้องเข้าสู่ระบบผ่านฟอร์มฝั่งหน้าเว็บ → รันโค้ดจากระยะไกล (RCE) ไม่มีทั้งการยืนยันตัวตน การตรวจโทเค็นความปลอดภัย และการตรวจชนิดของไฟล์
เวอร์ชันที่ได้รับผลกระทบ
ทุกเวอร์ชันตั้งแต่ 2.4.0 ลงไป
เวอร์ชันที่ปลอดภัย
Balbooa Forms 2.4.1 ขึ้นไป   ดาวน์โหลด
ระดับความรุนแรง
วิกฤต · ถูกใช้โจมตีจริงแล้ว
CVE
CVE-2026-56291
ความเข้ากันได้กับ Joomla
Joomla 4 / 5 / 6
ข้อมูล ณ วันที่ / เผยแพร่
เผยแพร่/ออกตัวแก้ไข: 9 กรกฎาคม 2026

ช่องโหว่นี้คืออะไร

Balbooa Forms (com_baforms) ใช้สร้างฟอร์มติดต่อและฟอร์มลงทะเบียนบน Joomla ฟอร์มเหล่านี้รับไฟล์แนบได้ และช่องทางอัปโหลดนั้นเองที่ถูกเปิดทิ้งไว้ คำสั่งฝั่งหน้าเว็บที่ใช้บันทึกไฟล์แนบสามารถเรียกใช้ได้โดยไม่ต้องเข้าสู่ระบบ ทั้งยังไม่ตรวจสอบโทเค็นความปลอดภัย (CSRF) และไม่ตรวจชนิดของไฟล์

ผลที่ตามมาคือผู้โจมตีสามารถอัปโหลดไฟล์ PHP ที่รันได้ขึ้นไปบนเซิร์ฟเวอร์ ไฟล์จะไปอยู่ในโฟลเดอร์ย่อยของไดเรกทอรีอัปโหลดซึ่งเข้าถึงได้จากภายนอก และเปิดเรียกผ่านเบราว์เซอร์ได้โดยตรง โค้ดที่ถูกฝังไว้จะทำงานบนเซิร์ฟเวอร์ทันที (Remote Code Execution) เท่ากับว่าเว็บไซต์ทั้งเว็บถูกยึดครองได้ทั้งหมด

ช่องโหว่นี้กระทบทุกเวอร์ชันตั้งแต่ 2.4.0 ลงไป ตัวแก้ไขออกมาตั้งแต่วันที่ 9 กรกฎาคม 2026 ในเวอร์ชัน 2.4.1 ซึ่งเพิ่มการตรวจสอบที่ขาดหายไปกลับเข้ามา ช่องโหว่นี้ถูกบันทึกไว้ภายใต้รหัส CVE-2026-56291 และตามรายงานระบุว่าถูกใช้โจมตีจริงแล้ว แม้จะยังไม่มีการเผยแพร่โค้ดโจมตีสู่สาธารณะก็ตาม

เว็บไซต์ของคุณได้รับผลกระทบหรือไม่ – วิธีตรวจสอบ

  1. เปิดส่วนผู้ดูแลระบบ

    เข้าสู่ระบบในหน้าผู้ดูแลของ Joomla

  2. ตรวจสอบเวอร์ชัน

    ไปที่ ส่วนเสริม›จัดการ›จัดการ แล้วกรองหา Balbooa Forms เพื่อดูหมายเลขเวอร์ชันที่ติดตั้งอยู่

  3. ประเมินเวอร์ชันที่พบ

    หากเป็นเวอร์ชัน 2.4.0 หรือเก่ากว่า ต้องรีบดำเนินการทันที

  4. มองหาร่องรอยการบุกรุก

    ตรวจโฟลเดอร์ images/baforms/uploads/ ว่ามีไฟล์ .php แปลกปลอมหรือไม่ และไล่ดูรายชื่อผู้ใช้ว่ามีบัญชีผู้ดูแลระบบที่ไม่รู้จักเพิ่มเข้ามาหรือเปล่า

วิธีปิดช่องโหว่นี้

ก่อนอัปเดตทุกครั้ง: สำรองข้อมูล
สำรองไฟล์และฐานข้อมูลก่อนอัปเดต เพื่อให้ย้อนกลับสู่สถานะเดิมได้หากเกิดปัญหา (เช่น ผ่าน Akeeba Backup หรือระบบของผู้ให้บริการโฮสติ้ง)
  1. เปิดหน้าอัปเดต

    ไปที่ ระบบ›อัปเดต›ส่วนเสริม แล้วคลิก ตรวจสอบการอัปเดต

  2. อัปเดต Balbooa Forms

    เลือกรายการ Balbooa Forms แล้วอัปเดตเป็น 2.4.1 ขึ้นไป

  3. ตรวจสอบเวอร์ชันอีกครั้ง

    หลังอัปเดตเสร็จ ให้ยืนยันว่าเวอร์ชันใหม่ถูกนำมาใช้งานเรียบร้อยแล้ว

การติดตั้งด้วยตนเอง (ทางเลือก)
หากไม่มีรายการอัปเดตปรากฏขึ้น ให้ดาวน์โหลดแพ็กเกจจากบัญชี Balbooa ของคุณ แล้วติดตั้งผ่าน ส่วนเสริม›จัดการ›ติดตั้ง
ดาวน์โหลดเวอร์ชันที่ปลอดภัย

แหล่งดาวน์โหลดอย่างเป็นทางการ: via Balbooa. ตรวจสอบให้แน่ใจว่าเป็นเวอร์ชันอย่างน้อย Balbooa Forms 2.4.1 ขึ้นไป.

เว็บไซต์ถูกแฮกไปแล้วหรือไม่

หากถูกแฮกแล้ว การอัปเดตอย่างเดียวไม่พอ
การอัปเดตปิดช่องโหว่ได้ก็จริง แต่ไม่ได้ลบโค้ดอันตรายที่ถูกอัปโหลดขึ้นไปก่อนหน้านั้น ให้ตรวจ images/baforms/uploads/ และโฟลเดอร์ข้างเคียงว่ามีไฟล์ .php แปลกปลอมหรือไม่ ไล่ดูรายชื่อผู้ใช้ว่ามีบัญชี Super User เพิ่มขึ้นมาใหม่หรือเปล่า และหากพบสิ่งผิดปกติให้เปลี่ยนรหัสผ่านทั้งหมด (ผู้ดูแล Joomla, FTP/SSH, ฐานข้อมูล) หากไม่แน่ใจ ควรให้ผู้เชี่ยวชาญเข้าตรวจล้างเว็บไซต์อย่างถูกวิธี

ต้องการความช่วยเหลือในการกู้คืนเว็บไซต์ใช่หรือไม่ ค้นหาผู้เชี่ยวชาญที่เหมาะสมได้ที่ไดเรกทอรีผู้ให้บริการ Joomla

แหล่งข้อมูล & อ่านเพิ่มเติม

ให้ยึดข้อมูลอย่างเป็นทางการจากผู้พัฒนาแต่ละรายเป็นหลักเสมอ หน้านี้รวบรวมข้อมูลที่เปิดเผยต่อสาธารณะไว้อย่างเป็นกลาง

กลับไปหน้ารวมช่องโหว่ทั้งหมด
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de