HTProtect.org
Joomla güvenlik açıkları hakkında bağımsız bilgi sitesi
TR
HTProtect HTProtect JOOMLA SECURITY
Yeni htprotect.app - Birden fazla web sitesi için merkezi Joomla site yönetimi
htprotect.org Güvenlik açıkları & güncelleme rehberleri
Yeni htprotect.app - Birden fazla web sitesi için merkezi Joomla site yönetimi
Güvenlik açığı

SP Page Builder güvenlik açığı: aktif sömürülen sıfır gün

Kritik Aktif olarak istismar ediliyorCVE: Kaynak makalede belirtilmemiş
Hemen harekete geçin
SP Page Builder'ı gecikmeden 6.8.0 sürümüne güncelleyin – sıfır gün açığı aktif olarak sömürülüyor.
Güvenli sürümü indirin Güncelleme adımlarına gidin

Güvenli sürüm: SP Page Builder 6.8.0 – 6.6.2 artık yeterli değil · via JoomShaper (account required)

Bir bakışta

Etkilenen eklenti
SP Page Builder – sayfa oluşturucu, com_sppagebuilder bileşeni
Üretici
JoomShaper
Açığın türü
Kimlik doğrulaması gerektirmeyen dosya yükleme (asset.uploadCustomIcon fonksiyonu ne oturum açılmış olmasını ne de dosya türünü denetliyordu) → uzaktan kod çalıştırma (RCE)
Etkilenen sürümler
6.7.1 dahil olmak üzere tüm sürümler (iki ayrı açık: dosya yükleme 6.6.1'e kadar, SQL enjeksiyonu 6.7.1'e kadar)
Güvenli sürüm
SP Page Builder 6.8.0 – 6.6.2 artık yeterli değil   İndirin
Önem derecesi
Kritik · aktif olarak istismar ediliyor
CVE
Kaynak makalede belirtilmemiş
Joomla uyumluluğu
Joomla 4 / 5 / 6
Durum / yayın tarihi
16 Haziran 2026 itibarıyla

Bu güvenlik açığı nedir?

JoomShaper'ın geliştirdiği SP Page Builder, Joomla için en yaygın sayfa oluşturuculardan biridir. asset.uploadCustomIcon fonksiyonu ne oturum açılmış olmasını ne de dosya türünü denetliyordu. Bu yolla giriş yapmadan zararlı kod yüklenip çalıştırılabiliyordu (Remote Code Execution).

Açıklardan 6.7.1 dahil olmak üzere 6.x serisinin tamamı etkileniyor. Dosya yükleme açığına ikinci ve ondan bağımsız bir açık eklendi: “daha fazla yükle” uç noktası üzerinden kimlik doğrulaması gerektirmeyen bir SQL enjeksiyonu (CVE-2026-65876); bu yolla veritabanı okunabiliyordu. Daha önce yayımlanan acil durum güncellemesi 6.6.2 yalnızca dosya yükleme açığını kapatıyordu; güvenli sürüm yalnızca 6.8.0. Açık kritik bir sıfır gün açığı olarak sınıflandırılıyor ve hâlihazırda aktif olarak sömürülüyor.

Saldırının tipik izleri: gizli süper kullanıcı hesapları (örn. @secure.local ile biten e-posta adresleri) ve birden fazla PHP arka kapısı. Güncelleme yalnızca ön kapıyı kapatır – önceden açılmış erişimler, tek tek temizlenene kadar yerinde kalır. Uzantıyı yalnızca devre dışı bırakmak koruma sağlamaz.

Sitem etkileniyor mu? – Nasıl kontrol edersiniz

  1. Yönetim panelini açın

    Joomla yönetim paneline giriş yapın.

  2. Sürümü kontrol edin

    Uzantılar›Yönet›Yönet yolunu açın ve listeyi “SP Page Builder” için filtreleyin.

  3. Sürümü değerlendirin

    Sürüm 6.7.1 veya daha eskiyse siteniz savunmasızdır. Güvenli sürüm yalnızca 6.8.0.

  4. Saldırı izlerini arayın

    @secure.local adresli süper kullanıcıları ve siteye ait olmayan .php dosyalarını arayın (başta images/…/fonts/ altındakiler ve /media/ içindeki users.php olmak üzere).

Güvenlik açığını nasıl kapatırsınız?

Her güncellemeden önce: yedek alın
Güncellemeden önce dosyalarınızı ve veritabanınızı yedekleyin – bir sorun çıkarsa eski duruma kolayca dönebilirsiniz (ör. Akeeba Backup ile veya hosting sağlayıcınız üzerinden).
  1. Güncelleme merkezini açın

    Sistem›Güncelleme›Uzantılar yolunu izleyin ve Güncellemeleri Kontrol Et düğmesine tıklayın.

  2. SP Page Builder'ı güncelleyin

    Listeden ilgili kaydı seçin ve 6.8.0 ya da daha yeni bir sürüme güncelleyin.

  3. Sürümü doğrulayın

    Artık en az 6.8.0 sürümünün kurulu olduğunu kontrol edin.

Elle kurulum (alternatif)
Alternatif olarak paketi joomshaper.com adresinden indirip Uzantılar›Yönet›Kur yolundan kurabilirsiniz. Önemli: Eski dosyaları geri yüklemeyin.
Güvenli sürümü indirin

Resmi kaynak: via JoomShaper (account required). Gerekli en düşük sürüm: SP Page Builder 6.8.0 – 6.6.2 artık yeterli değil.

Siteniz saldırıya uğradı mı?

Aktif olarak sömürülüyor – güncelleme tek başına yetmez
Açık, arkasında gizli süper kullanıcı hesapları ve birden fazla PHP arka kapısı bırakıyor. Bunları tek tek temizleyin, tüm parolaları değiştirin ve yükleme klasörlerini sıkılaştırın (örneğin bu dizinlerde PHP çalıştırmayı engelleyen bir .htaccess ile). Uzantıyı yalnızca devre dışı bırakmak koruma sağlamaz.

Sitenizin temizlenmesi konusunda yardıma mı ihtiyacınız var? Nitelikli uzmanları Joomla Hizmet Sağlayıcıları Dizini üzerinden bulabilirsiniz.

Kaynaklar & ek bilgiler

Her zaman ilgili üreticinin resmi bilgileri esas alınır. Bu sayfa, kamuya açık bilgileri tarafsız biçimde özetler.

Benzer güvenlik açıkları

Benzer türde açıklar barındıran diğer eklentiler. Bunlardan birinin sitenizde kurulu olup olmadığını kontrol edin.

Helix3 FrameworkKritikaktif olarak istismar ediliyor
JoomShaperDaha fazla bilgi
Helix UltimateKritik
JoomShaperDaha fazla bilgi
Astroid FrameworkKritikaktif olarak istismar ediliyor
TemPlazaDaha fazla bilgi
Tüm güvenlik açıklarına dönün
Destekçiler

Bu sitenin destekçileri

htprotect.org, ücretsiz ve üreticiden bağımsız bir bilgi hizmetidir. Bu hizmeti destekleyenler:

Hosting sağlayıcı & topluluk
FC-Hosting

Almanya merkezli, aktif topluluk desteği sunan Joomla hosting sağlayıcısı – JCE güvenlik açığına yönelik ilk saldırıyı tespit etti.

fc-hosting.de
Kurucu & işletmeci
Website-Bereinigung.de

Joomla ve WordPress web sitelerinin temizlenmesi, bakımı ve güvenliğinin sağlanması konusunda uzmanlaşmıştır.

website-bereinigung.de

Bu projeye destek olun

Bir hosting ya da Joomla hizmeti mi sunuyorsunuz? htprotect.org'u destekleyerek burada destekçi olarak yer alabilirsiniz – her katkı, etkilenen site sahiplerini daha hızlı uyarmamıza ve daha hızlı korumamıza yardımcı olur.

Adınız anılmadan, sessizce katkıda bulunmayı mı tercih edersiniz? Bahşiş kutusuna bırakacağınız küçük bir katkı da bizi aynı ölçüde sevindirir.

HTProtect'e şimdi destek olun
Bauschild & Service

İnşaat tabelaları, inşaat çitleri ve cephe çözümlerinin üretimi ve montajı – tasarım ve 3D görselleştirme dahil.

bauschildundservice.de
IT Specialista

Çekya merkezli profesyonel BT desteği – Windows yönetimi, etki alanı yönetimi ve web hosting.

defendersoft.cz
onlineweg.de

Almanya merkezli seyahat portalı – çevrimiçi paket tatiller, oteller ve uçak biletleri; kişiye özel acente danışmanlığıyla.

onlineweg.de
Criadero

Brandenburg merkezli kreatif ajans – web tasarımı, basılı medya, fotoğrafçılık ve 360° panoramalar tek elden.

criadero.de
Jahn EDV-Dienst GmbH

Wächtersbach merkezli BT hizmet sağlayıcısı – Joomla web siteleri, PC servisi, donanım ve yazılım.

jahnedv.de
IsariConsult

Berlin merkezli bilgi güvenliği danışmanlığı – KOBİ'ler için güvenlik analizleri, risk yönetimi ve ISO 27001.

isari-consult.de