JCH Optimize 9.4.0 zamknął kilka problemów bezpieczeństwa, lecz na części stron wprowadził błąd krytyczny przy Redis i APCu. Producent wydał tego samego dnia wersję 9.4.1, która zawiera poprawki bezpieczeństwa z 9.4.0 i naprawia ten problem. Jeśli używasz JCH Optimize, wybierz 9.4.1.
Lista zmian z 7 października 2026 r. wymienia XSS związany z dekodowaniem znaków w adresach URL, zbyt szerokie działanie licznika trafień Page Cache, brak tokenu i kontroli uprawnień przy zadaniach administracyjnych oraz otwarte przekierowanie. Producent oznaczył sześć zmian jako HIGH. Nie są to oficjalne oceny CVSS i na 8 października nie znaleźliśmy przypisanych im rekordów CVE.
Joomla Guru może wykonać kopię, aktualizację JCH Optimize i test pamięci podręcznej. Przy podejrzeniu nieuprawnionych zmian konfiguracji lub plików pomagamy w analizie incydentu.
Co poprawiono?
| Obszar | Zmiana według producenta |
|---|---|
| Optymalizacja HTML | Usunięto XSS związany z dekodowaniem znaków w URL-ach, np. odnośnikach wyszukiwania. |
| Page Cache | Licznik trafień nie może wywołać dowolnego modelu komponentu; ograniczono go do dostępnych opublikowanych treści. |
| Panel | Zadania zmieniające ustawienia lub pliki wymagają tokenu formularza i uprawnień administratora. Poprawiono otwarte przekierowanie. |
| Obrazy i pliki | Walidowane są adresy i ścieżki usługi optymalizacji obrazów, a foldery ograniczono do katalogu witryny. |
W 9.4.0 usunięto też parametr jchbackend, którym odwiedzający mógł wyłączyć optymalizację dla swojego żądania. Eksport ustawień nie zawiera już tokenu Cloudflare API ani hasła Redis. Jeżeli wcześniej przekazano komuś plik eksportu z tymi danymi, rozważ ich wymianę.
Dlaczego wybrać 9.4.1?
Na witrynach korzystających z Redis lub APCu wersja 9.4.0 mogła zatrzymać działanie PHP przez brakujące klasy w dołączonej bibliotece cache. Producent naprawił to w 9.4.1. Przed instalacją zanotuj ustawienia pamięci podręcznej i zrób kopię. Po aktualizacji sprawdź stronę publiczną, panel, generowanie CSS i JavaScript oraz Page Cache.
Bezpośredni link Core prowadzi do oficjalnego pliku ZIP. Edycja Pro może wymagać konta i identyfikatora pobierania. Monit aktualizatora Joomla nie zawsze pojawia się od razu; porównaj numer wersji na stronie producenta.
Sprawdź zgodność
Opis 9.4.x podaje wymaganie PHP 8.1 i Joomla 5.0 lub nowszej, ale lista zgodności wydania wymienia również Joomla 4.4. To rozbieżność w materiałach producenta. Na Joomla 4.4 potwierdź zgodność z autorem albo sprawdź aktualizację na kopii. Nie instaluj tego pakietu na Joomla 3; nie potwierdziliśmy poprawki dla starej gałęzi.
Źródła
FAQ
