Вразливість безпеки

AcyMailing: SQL-ін’єкція в Joomla без автентифікації

КритичнийCVE-2026-56292

Дійте зараз

Негайно оновіть AcyMailing до версії 10.11.1 або новішої – якщо сайт певний час працював без виправлення, додатково змініть усі паролі.

Завантажити безпечну версію Перейти до кроків оновлення

Безпечна версія: AcyMailing 10.11.1 або новіший · via AcyMailing

Коротко про головне

Вразливе розширення

AcyMailing – компонент email-розсилок (com_acym)

Розробник

Acyba

Тип вразливості

SQL-ін’єкція без автентифікації через загальнодоступну кінцеву точку у фронтенді; дає змогу анонімно читати будь-яку таблицю бази даних (облікові записи користувачів, хеші паролів, вміст сайту)

Вразливі версії

Версії від 6.0.0 до 10.11.0 включно

Безпечна версія

AcyMailing 10.11.1 або новіший Завантажити

Рівень небезпеки

Критичний

CVE

CVE-2026-56292

Сумісність із Joomla

Joomla 3 / 4 / 5

Станом на / опубліковано

Опубліковано/виправлено: 9 липня 2026

Про що йдеться?

AcyMailing (com_acym) керує розсилками та email-кампаніями в Joomla. Загальнодоступна – тобто доступна без входу в систему – кінцева точка у фронтенді вставляла передані параметри без фільтрації в SQL-запит, тож цей запит можна було змінити (SQL-ін’єкція).

У такий спосіб зловмисник може прочитати будь-яку таблицю бази даних – наприклад, таблицю користувачів із логінами та (захешованими) паролями, а також статті й внутрішні дані конфігурації. Це доступ лише на читання, проте він розкриває конфіденційні дані й готує ґрунт для подальших атак – зокрема для підбору паролів за їхніми хешами.

Вразливі версії від 6.0.0 до 10.11.0 включно. Виправлення доступне з 9 липня 2026 року у версії 10.11.1. Вразливість зареєстровано під ідентифікатором CVE-2026-56292.

Чи стосується це мого сайту? – Як перевірити

Відкрийте панель адміністратора
Увійдіть до панелі адміністратора Joomla.
Перевірте версію
У розділі Розширення›Керування›Керування відфільтруйте AcyMailing і подивіться, яка версія встановлена.
Оцініть версію
Якщо версія в діапазоні від 6.0.0 до 10.11.0, потрібно діяти. Безпечна версія – 10.11.1 або новіша.
Оцініть ризик
Читання даних майже не залишає видимих слідів. Якщо сайт тривалий час працював без виправлення, вважайте, що хеші паролів уже могли витекти.

Як усунути вразливість

Перед кожним оновленням: резервна копія

Перед оновленням створіть резервну копію файлів і бази даних – так ви зможете повернутися до попереднього стану, якщо щось піде не так (наприклад, за допомогою Akeeba Backup або засобами вашого хостинг-провайдера).

Відкрийте центр оновлень
Перейдіть до Система›Оновлення›Розширення і натисніть Перевірити оновлення.
Оновіть AcyMailing
Позначте відповідний запис і оновіть його до версії 10.11.1 або новішої.
Перевірте версію
Після цього переконайтеся, що нову версію застосовано.

Ручне встановлення (альтернатива)

Якщо оновлення не з’являється, завантажте пакет у своєму обліковому записі AcyMailing і встановіть його через Розширення›Керування›Встановлення.

Завантажити безпечну версію

Офіційне джерело: via AcyMailing. Переконайтеся, що встановлено щонайменше AcyMailing 10.11.1 або новіший.

Чи вже атакували ваш сайт?

Оновлення не поверне вже прочитані дані

Оновлення блокує подальший доступ, але не скасовує того читання, яке вже відбулося. Якщо сайт певний час залишався без виправлення, про всяк випадок змініть усі паролі (користувачів Joomla, насамперед адміністраторів), завершіть активні сеанси і – якщо це можливо – згенеруйте нові секретні ключі Joomla. Крім того, перегляньте список користувачів і перевірте, чи немає в ньому невідомих облікових записів.

Потрібна допомога з очищенням сайту? Кваліфікованих фахівців ви знайдете в каталозі постачальників послуг Joomla.

Джерела & додаткові матеріали

Первинний бюлетень безпеки – mySites.guruОпис вразливості з технічними подробицями
AcyMailing / Acyba (розробник)Оновлення доступне через оновлювач Joomla або в обліковому записі AcyMailing
CVE-2026-56292 (CVE.org)Офіційний запис CVE
Joomla Vulnerable Extensions List (VEL)Список вразливих розширень, який веде спільнота

Пріоритет завжди мають офіційні дані відповідного розробника. Ця сторінка нейтрально узагальнює загальнодоступну інформацію.

Назад до всіх вразливостей

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de