W rozszerzeniach miniOrange dla Joomla ujawniono trzy poważne podatności. Dwie z nich pozwalają niezalogowanemu napastnikowi przejąć dowolne istniejące konto, także konto Super User. Trzecia umożliwia zdalne odinstalowanie rozszerzenia bez uwierzytelnienia.
CVE-2026-77995 w OAuth Client oraz CVE-2026-77998 w SAML SSO otrzymały maksymalną ocenę 10,0 w CVSS 4.0. CVE-2026-78074 ma ocenę 8,8 i obejmuje 23 bezpłatne rozszerzenia miniOrange.
Numery wydań miniOrange nie tworzą jednej wspólnej linii. Darmowy OAuth Client powinien mieć co najmniej 3.2.1, a darmowy SAML SSO co najmniej 11.0.3. Płatne edycje SAML mają inne numery naprawcze: 13.2, 24.2, 34.2 i 44.2.
Pobierz aktualne rozszerzenia miniOrange → Wersje płatne trzeba pobrać po zalogowaniu do konta klienta. Joomla nie zawsze pokaże aktualizację od razu, szczególnie gdy brakuje klucza pobierania. Nie porównuj numerów różnych edycji jak jednej serii.
Joomla Guru może wykonać kopię, aktualizację miniOrange i test logowania SSO. Jeżeli podatne rozszerzenie było dostępne publicznie, trzeba sprawdzić konta, sesje administratorów i logi. Przy oznakach przejęcia wykonujemy czyszczenie oraz zabezpieczenie strony Joomla.
Page Builder CK dla Joomla otrzymał serię pilnych poprawek po ujawnieniu krytycznych podatności. Najnowsza z nich, CVE-2026-74254, pozwala na SQL Injection i ma ocenę 9,3. Wcześniej opublikowano także krytyczne błędy uploadu plików prowadzące do RCE: CVE-2026-56290 oraz CVE-2026-63048.
Wersja 3.6.4 usuwała problem po stronie frontowej, ale pełna poprawka obejmująca również zaplecze znalazła się w Page Builder CK 3.6.5. Zainstaluj 3.6.5 lub nowszą wersję.
Joomla Guru może przeprowadzić bezpieczną aktualizację Page Builder CK i test stron zbudowanych w komponencie. Jeżeli podatna wersja była dostępna publicznie, możemy także sprawdzić katalogi uploadu i pozostałe pliki oraz wykonać czyszczenie strony po włamaniu.
W J-BusinessDirectory dla Joomla ujawniono serię podatności, w tym dwie krytyczne: CVE-2026-75949 z oceną 10,0 oraz CVE-2026-75954 z oceną 9,3 w CVSS 4.0. Pierwsza pozwala manipulować plikami i w określonych warunkach przesłać niebezpieczny plik, druga jest błędem SQL Injection. Atak może prowadzić do przejęcia strony lub ujawnienia danych.
Pierwsze poprawki znalazły się w wersji 6.2.3. Producent wydał następnie kolejne zabezpieczenia, dlatego administratorom zalecamy instalację J-BusinessDirectory 6.2.5 lub nowszego oraz aktualizację wszystkich używanych aplikacji dodatkowych JBD.
Joomla Guru może wykonać kopię zapasową, aktualizację J-BusinessDirectory i testy działania katalogu. Jeżeli strona pracowała na podatnej wersji, możemy również sprawdzić pliki, konta oraz bazę danych i w razie potrzeby przeprowadzić usuwanie wirusów i skutków włamania.
J2Store wymaga kolejnej pilnej aktualizacji. Sześć nowych podatności obejmuje SQL Injection bez logowania, odczyt plików serwera oraz zmianę statusu dowolnego zamówienia na nieudane. Najpoważniejsze z nowych błędów otrzymały ocenę 8,7 w CVSS 4.0.
Poprawki wydano w wersjach J2Store 3.3.23, 4.0.23 i 4.1.8. Wcześniejsze wydania 3.3.22, 4.0.22 i 4.1.7 naprawiały pięć opisanych wcześniej luk, ale nadal zawierają sześć kolejnych problemów. W tym artykule opisujemy teraz łącznie jedenaście CVE.
Joomla Guru może wykonać kopię, aktualizację J2Store i test procesu zakupowego. Jeżeli sklep pracował na starszej wersji, możemy sprawdzić zamówienia, pliki, konta i bazę oraz przeprowadzić usuwanie skutków włamania.
W komponencie JEM tj Joomla Event Manager ujawniono poważne problemy z kontrolą dostępu, zapisem treści i filtrowaniem danych. Najgroźniejszy scenariusz pozwala anonimowemu użytkownikowi nadpisać i opublikować artykuł Joomla. Inne błędy umożliwiają przejęcie cudzego wydarzenia lub miejsca, odczyt listy uczestników oraz wykonanie skryptu w przeglądarce.
Joomla CNA przydzieliło pięć identyfikatorów: CVE-2026-77034, CVE-2026-77035, CVE-2026-77989, CVE-2026-77990 i CVE-2026-77991. Na 24 sierpnia 2026 roku rekordy pozostają zarezerwowane, dlatego nie ma jeszcze oficjalnego przypisania poszczególnych numerów do błędów ani ocen CVSS.
Nie ma obecnie stabilnej poprawki do instalacji. Najnowsze stabilne wydanie JEM 5.0.0 jest podatne, a kod naprawczy znajduje się w testowej wersji 5.0.1. Nie zalecamy instalowania wydania RC na działającej stronie bez wcześniejszych testów. Do czasu publikacji JEM 5.0.1 stable trzeba ograniczyć dostęp do zagrożonych funkcji.
Joomla Guru może sprawdzić konfigurację JEM, ograniczyć uprawnienia i przygotować bezpieczną aktualizację po wydaniu wersji stabilnej. Jeżeli na stronie pojawiły się nieznane artykuły, wydarzenia, pliki lub konta, możemy przeprowadzić analizę oraz usunąć skutki włamania.
Administratorzy stron Joomla korzystających z SP Page Builder, Helix3 lub Helix Ultimate powinni ponownie sprawdzić wersje zainstalowanych rozszerzeń. W czerwcu i lipcu 2026 roku ujawniono kilka niezależnych podatności: zdalne wykonanie kodu bez logowania, wstrzyknięcia SQL, możliwość wykorzystania strony do wysyłania cudzych wiadomości, usuwanie plików, modyfikację ustawień szablonu oraz luki w kontroli dostępu.
Część problemów była aktywnie wykorzystywana. W przypadku SP Page Builder atakujący wgrywali pliki PHP i tworzyli ukryte konta Super Users. Podatność Helix3 została powiązana z masową falą podmian stron, na których pojawiały się komunikaty „Hacked by AntonKill” lub „Hacked by trenggalek6etar”. Aktualizacja zamyka podatne wejście, ale nie usuwa pozostawionych kont, skryptów i zmian zapisanych w bazie danych.
Joomla Guru realizuje aktualizacje i opiekę techniczną Joomla, obejmujące kopię zapasową, kontrolę wersji i testy po wdrożeniu. Jeśli na stronie znajdują się nieznane konta administratorów, podejrzane pliki lub obcy kod w ustawieniach szablonu, potrzebne jest usuwanie wirusów z Joomla połączone z analizą bazy danych i logów.
Weeblr poinformował 15 lipca 2026 roku o dwóch krytycznych podatnościach w 4Analytics, czyli rozszerzeniu analitycznym dla Joomla. Producent zaleca natychmiastową aktualizację do wersji 4Analytics 5.0.2.
To ważny komunikat dla administratorów stron Joomla, ponieważ problem dotyczy wszystkich wcześniejszych wersji 4Analytics. Według Weeblr atakujący nie musi być zalogowany, a w określonych warunkach podatności mogą prowadzić nawet do przejęcia całej strony.
Aktualizacja z 8 września 2026 roku: w ZOO firmy YOOtheme ujawniono kolejne podatności. Pierwsze wydanie naprawcze 4.1.64 usuwało anonimowy upload prowadzący do RCE, SQL Injection oraz zewnętrzne przekierowanie. Wersja 4.1.65 poprawiała kontrolę uprawnień, ale pełny zestaw późniejszych zabezpieczeń pojawił się dopiero w 4.1.66.
Obecnie dostępne jest ZOO 4.1.68 i to wydanie zalecamy. Bezpieczne minimum dla całej opisanej serii to 4.1.66. Strona pozostająca na 4.1.64 albo 4.1.65 nie ma wszystkich poprawek opublikowanych przez producenta.
Pobierz aktualny pakiet ZOO → Plik jest dostępny po zalogowaniu do konta YOOtheme. Aktualizator Joomla wymaga prawidłowego klucza pobierania, a powiadomienie może pojawić się z opóźnieniem. Numer wydania sprawdź ręcznie w changelogu ZOO.
Po instalacji poprawki skontroluj katalog images/zoo/uploads/. Aktualizacja zamyka podatność, lecz nie usuwa plików przesłanych wcześniej przez atakującego.
Joomla Guru może wykonać kopię, aktualizację ZOO i test formularzy. Jeżeli pojawiły się podejrzane pliki albo nieznane konta administratorów, potrzebna jest analiza instalacji i ewentualne usunięcie skutków włamania.
Aimy Captcha-Less Form Guard dla Joomla ma krytyczną podatność PHP Object Injection oznaczoną jako CVE-2026-65883. Atak może zostać przeprowadzony zdalnie bez logowania i prowadzić do wykonania kodu na serwerze. Luka otrzymała maksymalną ocenę 10,0 w CVSS 4.0.
Podatne są wersje od 18.0 do 20.0. Poprawka została wydana w Aimy Captcha-Less Form Guard 20.1. Producent zaleca natychmiastową aktualizację.
Joomla Guru może wykonać kopię, aktualizację wtyczki i test chronionych formularzy. Jeżeli strona działała publicznie na podatnej wersji, możemy również sprawdzić ją pod kątem backdoorów i przeprowadzić usuwanie skutków włamania.
Aktualizacja: po komunikacie Balbooa opublikowano rekord CVE-2026-67364 opisujący krytyczne RCE w Balbooa Forms. Pierwotna informacja producenta mówiła jedynie o wzmacnianiu zabezpieczeń. Nowy rekord potwierdza jednak, że w określonej konfiguracji wersje Forms do 2.4.3.1 pozwalają niezalogowanemu napastnikowi wykonać kod PHP.
Luka otrzymała ocenę 10,0 w CVSS 4.0. Poprawka znajduje się w Balbooa Forms 2.4.3.2. Dla Gallery nadal zalecana jest wersja 2.5.1.1, w której producent wzmocnił kontrolę dostępu i operacje na plikach. Nie ma podstaw, by przypisywać Gallery ten sam numer CVE.
Nie należy polegać wyłącznie na automatycznym powiadomieniu Joomla. Po wydaniu poprawki serwer aktualizacji lub pamięć podręczna mogą przez pewien czas nie pokazywać najnowszej wersji. W takim przypadku trzeba pobrać pakiet ręcznie ze strony Balbooa.
Balbooa Forms 2.4.3.4 usuwa pięć podatności dotyczących obsługi formularzy i załączników. Najpoważniejsza z nich może pozwolić niezalogowanemu użytkownikowi na wykonanie kodu PHP, jeśli formularz korzysta z określonej akcji PHP po wysłaniu. Poprawiono także możliwość ujawnienia plików serwera przez załączniki w automatycznej odpowiedzi, XSS w panelu administratora oraz błędy kontroli dostępu do przesłanych plików.
Publiczne rekordy CVE wskazują, że podatne są wersje od 1.0.0 do 2.4.3.3. Producent wydał poprawkę 29 września 2026 r. i zaleca jej instalację wszystkim użytkownikom Balbooa Forms. To nowa aktualizacja względem opisywanej wcześniej wersji 2.4.3.2 oraz hardeningu Gallery. Samo zainstalowanie 2.4.3.2 nie rozwiązuje problemów ujawnionych teraz.
Joomla Guru może wykonać kopię, aktualizację Forms i test formularzy. Jeśli witryna działała na podatnej wersji i widać nieznane pliki, konta lub nietypowe wysyłki wiadomości, możemy przeanalizować incydent i usunąć skutki włamania.
Aktualizacja z 8 września 2026 roku: Sourcerer 14.0.0, 14.0.1 oraz 15.0.0 nie usunęły krytycznej podatności CVE-2026-74253. Oficjalny zakres został rozszerzony na wszystkie wydania od 1.0.0 do 15.0.0. Joomla Security Strike Team potwierdził również, że luka jest wykorzystywana w rzeczywistych atakach od około 19 sierpnia.
Poprawka, która zamyka drogę do wykonania kodu PHP z niezaufanych danych żądania, znalazła się dopiero w Sourcerer 16.0.0. Producent wydał następnie 16.0.1 z dodatkowym zabezpieczeniem listy niedozwolonych funkcji. Dlatego obecnie zalecamy instalację Sourcerer 16.0.1, a nie pozostawanie na 14.x lub 15.0.0.
Pobierz Sourcerer 16.0.1 Free →
Powiadomienie o aktualizacji w Joomla może pojawić się z opóźnieniem. W wersji Pro aktualizator wymaga poprawnego Download Key. Jeżeli panel nie proponuje wersji 16.0.1, sprawdź aktualizacje ponownie, wyczyść pamięć witryn aktualizacji albo pobierz pakiet ręcznie z konta Regular Labs.
Joomla Guru może wykonać kopię, aktualizację Sourcerer i test osadzonego kodu. Ponieważ luka była używana przed opublikowaniem skutecznej poprawki, sama instalacja nowej wersji nie kończy kontroli. Przy podejrzeniu włamania wykonujemy analizę plików, użytkowników i logów oraz czyszczenie strony Joomla.
JooDatabase Lite dla Joomla ma krytyczną podatność SQL Injection dostępną bez logowania. Luka otrzymała numer CVE-2026-78080 i ocenę 9,3 w CVSS 4.0. Podatne są wersje od 1.0 do 5.0.0.
Problem dotyczy parametru cid, który mógł trafić do zapytania bazy danych bez odpowiedniej walidacji. Atakujący nie potrzebuje konta ani działania administratora. Poprawka została wydana 3 września 2026 roku jako JooDatabase 5.1.
Pobierz JooDatabase 5.1 bezpośrednio →
Producent udostępnia pakiet dla Joomla 4, 5 i 6. Powiadomienie w Joomla może pojawić się z opóźnieniem, a Joomla Extensions Directory nadal może pokazywać starszy numer. Sprawdź wersję ręcznie i w razie potrzeby zainstaluj oficjalny pakiet przez instalator rozszerzeń.
Joomla Guru może wykonać kopię, aktualizację JooDatabase i test widoków. Jeżeli podatna wersja była publicznie dostępna, możemy sprawdzić logi, konta i bazę. Potwierdzone ślady ataku wymagają analizy oraz usunięcia skutków włamania.
SP Property Finder 4.1.3 i starsze wersje mają podatność SQL Injection dostępną bez logowania. Atakujący może wykorzystać publiczną wyszukiwarkę nieruchomości lub widok mapy, aby odczytywać dane z bazy Joomla. Dotyczy to między innymi kont użytkowników, skrótów haseł, aktywnych sesji oraz sekretu witryny.
Problem otrzymał numer CVE-2026-78082 i oficjalną ocenę 9,3 Critical w CVSS 4.0. Producent usunął lukę w SP Property Finder 4.1.4, wydanym 10 września 2026 roku.
Pobierz SP Property Finder 4.1.4 z oficjalnej strony →
SP Property Finder jest rozszerzeniem komercyjnym, dlatego pobranie pakietu może wymagać zalogowania do konta JoomShaper z aktywną subskrypcją. Nie czekaj wyłącznie na komunikat w panelu Joomla. W dniu publikacji poprawki część stron producenta nadal pokazywała wersję 4.1.3, a osobny komunikat bezpieczeństwa nie został opublikowany.
Jeśli potrzebujesz pomocy z aktualizacją lub kontrolą kilku witryn, sprawdź opiekę serwisową Joomla. Jeżeli podejrzewasz, że dane mogły zostać odczytane albo na stronie pojawiły się obce konta i pliki, skorzystaj z usługi usuwania wirusów i skutków włamania.
Lipiec 2026 był jednym z najbardziej intensywnych miesięcy dla bezpieczeństwa Joomla od lat. Sam rdzeń CMS otrzymał 12 poprawek bezpieczeństwa, a w popularnych rozszerzeniach ujawniono dziesiątki kolejnych problemów. Część z nich pozwalała bez logowania przesłać plik PHP, odczytać bazę danych albo przejąć konto Super User. Co najmniej pięć luk w dodatkach Joomla trafiło do katalogu CISA Known Exploited Vulnerabilities, czyli listy podatności, których wykorzystanie potwierdzono w rzeczywistych atakach.
Z udokumentowanych i policzonych ujawnień wynika, że lipcowa fala objęła co najmniej 63 odrębne problemy: 12 w rdzeniu Joomla oraz co najmniej 51 w rozszerzeniach. To liczba ostrożna. Nie doliczam do niej pakietu poprawek Regular Labs, ponieważ producent opisał klasy błędów w około 30 rozszerzeniach, ale nie podał jednej porównywalnej liczby podatności.
Jeżeli nie wiesz, które wersje działają na Twojej stronie, Joomla Guru może przeprowadzić inwentaryzację, kopię zapasową i aktualizacje w ramach opieki serwisowej Joomla. Gdy strona działała na podatnym dodatku i pojawiły się nieznane konta, pliki PHP, przekierowania albo zmiany w bazie, potrzebna jest analiza incydentu i usuwanie wirusów z Joomla, a nie tylko instalacja aktualizacji.
Regular Labs opublikowało pakiet aktualizacji bezpieczeństwa dla około 30 rozszerzeń Joomla. Poprawki obejmują między innymi ochronę przed SSRF, XSS, wstrzykiwaniem poleceń systemowych, przechodzeniem po ścieżkach katalogów oraz dostępem do danych i funkcji bez wymaganych uprawnień.
Administratorzy korzystający z rozszerzeń Regular Labs powinni sprawdzić ich wersje, wykonać kopię zapasową i zainstalować aktualne wydania. Aktualizacja całego zestawu jest rozsądniejsza niż ograniczenie się do jednego dodatku, ponieważ część zabezpieczeń została wprowadzona we wspólnej bibliotece producenta.
Joomla Guru oferuje opiekę techniczną Joomla, obejmującą kopie zapasowe, aktualizacje rozszerzeń, testy zgodności i kontrolę działania strony. Gdy pojawiły się podejrzane pliki, przekierowania lub nieznane konta administratorów, pomoc obejmuje również usuwanie wirusów z Joomla.
Joomla 3.9.10. Jest to wydanie poprawiające błąd, który ujawnił się podczas wersji 3.9.9. Przez co chwilowo aktualizacja znikła z serwerów. Problem dotyczył stron wielojęzycznych i przypisanych języków do stylu szablonów. Opis zmian znajdziecie we wpisie.
Joomla 3.9.11. Jest to wydanie poprawiające jeden błąd bezpieczeństwa oraz naprawia dwadzieścia pięć błędów w działaniu ogólnym. Opis zmian znajdziecie we wpisie.
Joomla 3.9.12. Jest to wydanie poprawiające jeden błąd bezpieczeństwa oraz naprawia trzydzieści błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.13. Jest to wydanie poprawiające dwa błędy bezpieczeństwa oraz naprawia piętnaście błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.14. Jest to wydanie poprawiające dwa błędy bezpieczeństwa oraz naprawia trzydzieści pięć błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.15. Jest to wydanie poprawiające trzy błędy bezpieczeństwa oraz naprawia dwadzieścia błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.16. Jest to wydanie poprawiające sześć błędów bezpieczeństwa oraz naprawia dwadzieścia błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.17. Jest to wydanie poprawiające trzy błędy bezpieczeństwa oraz naprawia czterdzieści błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.18. Jest to wydanie poprawiające poprzednie wydanie, które powodowało błąd 404 przy tagach. Opis zmian znajdziesz po niżej.
Joomla 3.9.23 jest już dostępna do pobrania. To wydanie zawiera 7 poprawek bezpieczeństwa i 35 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Dlaczego aktualizacje są ważne dowiesz się z #32 odcinka JOOMLA TO PROSTE.
Joomla 3.9.24 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 3 luku w zabezpieczeniach i zawiera 35 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.25 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 9 luku w zabezpieczeniach i zawiera 40 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.26 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 2 luki w zabezpieczeniach i zawiera 30 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.27 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 3 luku w zabezpieczeniach i zawiera 15 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.5. Jest to wydanie poprawiające trzy błędy w zakresie bezpieczeństwa. Wdrożono dwadzieścia poprawek poprawiających ogólne działanie CMS Joomla oraz poprawiające błędy. Opis zmian znajdziecie we wpisie.
Joomla 3.9.6. Jest to wydanie poprawiające jeden błąd w zakresie bezpieczeństwa. Wdrożono dwadzieścia pięć poprawek poprawiających ogólne działanie CMS Joomla oraz poprawiające błędy. Opis zmian znajdziecie we wpisie.
Joomla 3.9.7. Jest to wydanie poprawiające bezpieczeństwo, które rozwiązuje trzy luki w zabezpieczeniach i zawiera ponad 40 poprawek oraz ulepszeń. Opis zmian znajdziecie we wpisie.
Joomla 3.9.8. Jest to wydanie poprawiające błąd z poprzedniej aktualizacji, która usuwa nieoficjalny serwer pomocy. Opis zmian znajdziecie we wpisie.
Joomla 3.9.9. Jest to wydanie poprawiające bezpieczeństwo oraz usprawniające działanie. Opis zmian znajdziecie we wpisie.
Gridbox dla Joomla otrzymał kolejną pilną poprawkę bezpieczeństwa. Wersja 2.20.3.1 usuwa podatność typu blind SQL injection w parametrze autora bloga, dostępną od strony publicznej bez logowania. Atak może służyć do stopniowego odczytu danych z bazy, w tym informacji o użytkownikach i aktywnych sesjach.
Aktualizację należy wykonać także na stronach z Gridbox 2.20.3 oraz 2.20.2.3. Producent nie opublikował pełnego zakresu podatnych wersji, dlatego każdą instalację starszą niż 2.20.3.1 trzeba traktować jako wymagającą aktualizacji. Na 21 września 2026 roku nowa luka nie ma jeszcze osobnego numeru CVE ani oficjalnej oceny CVSS.
Joomla Guru realizuje aktualizacje i opiekę serwisową Joomla. Jeżeli strona działała również na Gridbox starszym niż 2.20.2, zalecana jest dodatkowa kontrola bezpieczeństwa, a przy śladach kompromitacji pełne usuwanie wirusów z Joomla.
Joomill wydał 8 października 2026 r. Opening Hours 6.3.0 z poprawką bezpieczeństwa. Problem dotyczył pola Custom CSS. Odpowiednio przygotowana wartość mogła zamknąć blok <style> i uruchomić JavaScript na stronie odwiedzanej przez użytkowników. Producent udostępnił poprawione wydania modułu Free i PRO.
To luka typu XSS wymagająca możliwości zmiany ustawień modułu. Według changelogu Joomill nie musi to być konto Super User. Nie ma podstaw, by opisywać ten problem jako atak dostępny dla anonimowego gościa. Jeśli ktoś z dostępem do opcji modułu może zapisać Custom CSS, warto zaktualizować rozszerzenie i sprawdzić, komu przyznano takie uprawnienia.
Jeśli potrzebujesz pomocy z aktualizacją, Joomla Guru oferuje opiekę serwisową Joomla. Przy podejrzeniu, że w ustawieniach lub na stronie znalazł się obcy kod, przydatna będzie także analiza bezpieczeństwa i usuwanie skutków włamania.
Dwa rozszerzenia OrdaSoft mają podatności dostępne bez logowania. W Simple Membership błąd w sprawdzaniu loginu pozwala wstrzyknąć zapytanie SQL. Touch Slider pozwala niezalogowanej osobie usuwać obrazy slajdera albo podmienić jego zawartość. Rekordy CVE-2026-102782 i CVE-2026-102781 opublikowano 7 października 2026 r.
SQL injection w komponencie członkowskim oceniono na 9,3 (krytyczny) w CVSS 4.0. Touch Slider otrzymał 6,9. W przypadku Simple Membership rekord CVE jest niespójny: tytuł wskazuje, że poprawkę stanowi 7.4.0, lecz pole z zakresem wersji oznacza również 7.4.0 jako podatną. Nie traktuj więc samego numeru 7.4.0 jako potwierdzenia usunięcia luki. Sprawdź pakiet i status poprawki u OrdaSoft.
Joomla Guru może pomóc w sprawdzeniu wersji, wykonaniu kopii i aktualizacji. Przy podejrzeniu naruszenia danych lub obcych zmian w slajderze potrzebna jest analiza skutków włamania.
W OrdaSoft OS CCK wykryto krytyczny błąd przesyłania plików. Osoba bez konta mogła zapisać plik wykonywany jako PHP w katalogu witryny. CVE-2026-102427 ma ocenę 10,0 w skali CVSS 4.0. Poprawka jest w pakiecie 8.3.16 Light.
W tym samym pakiecie zmieniono obsługę sortowania publicznych list, która dopuszczała SQL Injection. Ten drugi błąd otrzymał CVE-2026-102428 z oceną 9,3 w skali CVSS 4.0. Aktualizacja informacji: 7 października 2026 r. Najpilniejsza jest jednak instalacja nowego wydania: na 1 października 2026 r. kanał aktualizacji OrdaSoft nadal wskazuje 8.3.14 Light, choć pobierany pakiet ma już numer 8.3.16. Joomla może więc nie pokazać poprawki.
Pobierz OS CCK 8.3.16 Light bezpośrednio od OrdaSoft → Po instalacji potwierdź numer w menedżerze rozszerzeń. Joomla Guru może pomóc w aktualizacji i testach, a przy podejrzeniu przejęcia witryny przeprowadzić analizę i usunięcie skutków włamania.
Jak działa luka w przesyłaniu plików?
Publiczna ścieżka przesyłania obrazów sprawdzała zawartość pliku, lecz nie ograniczała rozszerzenia zapisywanej nazwy. Przy odpowiednio przygotowanym pliku można było przejść kontrolę typu obrazu i zachować rozszerzenie .php. Plik trafiał pod katalog strony, gdzie serwer mógł go wykonać.
Rekord CVE wskazuje zakres od 1.0.0 do 8.3.15. W pobranym pakiecie Light manifest komponentu oraz manifest pakietu podają 8.3.16. Płatna edycja Pro ma własną numerację i nie ma publicznego potwierdzenia, który jej pakiet zawiera tę poprawkę. Użytkownicy Pro powinni pilnie zweryfikować to z OrdaSoft.
Drugi problem: sortowanie list
Wcześniejszy kod budował klauzulę ORDER BY z parametru sortowania pochodzącego z żądania. W 8.3.16 pole jest sprawdzane względem dozwolonych kolumn. Ten błąd jest opisany jako CVE-2026-102428 (9,3 w CVSS 4.0). Osobny CVE-2026-102427 dotyczy przesyłania i uruchamiania pliku.
Dlaczego trzeba pobrać pakiet ręcznie?
Oficjalny pakiet 8.3.16 Light nadal wskazuje adres kanału aktualizacji OS CCK. Odczytany 1 października plik XML podaje tam 8.3.14 Light. Joomla porównuje numer z kanału z zainstalowanym wydaniem. Instalacja 8.3.14 albo 8.3.15 może z tego powodu wyglądać na aktualną.
- Wykonaj pełną kopię plików i bazy danych.
- Pobierz pakiet Light z oficjalnego odnośnika i zainstaluj go na istniejącej instalacji. Nie usuwaj wcześniej komponentu.
- Potwierdź numer 8.3.16 oraz działanie formularzy, obrazów i list treści.
- Przejrzyj katalogi
images/com_os_cck* pod kątem obcych plików PHP oraz sprawdź konta administratorów i logi.
Jeżeli znajdziesz podejrzany plik, sama aktualizacja nie usuwa skutków wcześniejszego wykonania kodu. Potrzebna jest analiza całej witryny, w tym plików, bazy i danych dostępowych. Zakres takiej kontroli opisuje usługa usuwania wirusów z Joomla.
Źródła
W OS Gallery dla Joomla ujawniono cztery poważne podatności. Najgroźniejsza z nich pozwala zaatakować bazę danych bez logowania, a dwie kolejne mogą prowadzić do wykonania kodu na serwerze przez konto z prawem zarządzania galerią. Podatne są wersje od 1.0.0 do 6.2.6, zarówno bezpłatna, jak i płatna edycja rozszerzenia. Poprawka znajduje się w OS Gallery 6.2.7.
Nie warto czekać wyłącznie na komunikat w panelu Joomla. Powiadomienie o aktualizacji może pojawić się z opóźnieniem albo nie zadziałać poprawnie. Wersję rozszerzenia należy sprawdzić ręcznie, pobrać aktualny pakiet od producenta i po instalacji potwierdzić numer 6.2.7.
Jeżeli potrzebujesz wsparcia, Joomla Guru realizuje aktualizacje i opiekę serwisową Joomla. Gdy strona działała na podatnej wersji i pojawiły się podejrzane pliki, konta lub wpisy w logach, potrzebna może być pełna analiza oraz usuwanie wirusów z Joomla.
Phoca Cart 6.1.9 naprawia błąd kontroli dostępu w widoku zamówienia. W starszym kodzie przy pobieraniu pliku sprawdzano, czy podano tokeny pobrania i zamówienia, ale w pewnym scenariuszu nie porównywano ich poprawnie z wartościami zapisanymi przy zakupie. Jeśli sklep sprzedaje produkty cyfrowe, luka mogła umożliwić pobranie pliku z cudzego zamówienia bez zalogowania.
Producent opublikował wydanie bezpieczeństwa 1 października 2026 r. Dotyczy ono innego problemu niż wcześniejsza luka SQL injection w Phoca Cart. Sklep z wersją 6.1.8, nawet jeśli instalował sierpniowe poprawki, powinien przejść na 6.1.9.
Joomla Guru może wykonać kopię, aktualizację Phoca Cart i test zakupów oraz pobierania plików. Przy podejrzeniu nieuprawnionych pobrań potrzebna jest kontrola logów i zamówień. Jeśli pojawiły się również oznaki włamania do witryny, zakres prac może objąć analizę i usuwanie jego skutków.
Jeżeli Twoja strona Joomla korzysta z edytora JCE, potraktuj ten temat jako pilny. W czerwcu 2026 roku opisano aktywnie wykorzystywany atak na JCE, w którym napastnik może dodać fałszywy profil edytora, dopuścić upload plików PHP i zostawić na serwerze webshell. Problem jest szczególnie groźny, bo kluczowa luka CVE-2026-48907 dotyczyła nieautoryzowanego importu profilu edytora, czyli scenariusza bez logowania do panelu.
Najważniejsza rekomendacja jest prosta: sprawdź wersję JCE na wszystkich stronach Joomla i zaktualizuj JCE do wersji 2.9.99.6 lub nowszej. Sama aktualizacja zamyka wejście, ale nie usuwa plików, które mogły zostać wcześniej wgrane. Jeśli strona była już zaatakowana, potrzebne jest czyszczenie, analiza plików, kontrola logów, zmiana haseł i dodatkowy audyt.
Joomla Guru zajmuje się zarówno czyszczeniem zainfekowanych stron Joomla, jak i opieką techniczną, która ma zapobiegać takim wypadkom: aktualizacjami, kopiami zapasowymi, monitoringiem, kontrolą rozszerzeń i reakcją na alerty bezpieczeństwa.
ThemeXpert wydał Quix 6.3.4 z trzema grupami poprawek bezpieczeństwa. Gość nie powinien już móc zmieniać ustawień Quix ani odczytywać stron z ograniczonym dostępem. Poprawiono również ścieżkę wykonania kodu przez edytora oraz uruchamianie skryptów pochodzących z treści artykułów Joomla.
To opis producenta z 30 września 2026 roku. Changelog nie podaje numerów CVE, oceny CVSS ani dokładnego zakresu podatnych wydań. Jeżeli na stronie działa Quix poniżej 6.3.4, zaplanuj aktualizację bez czekania na identyfikatory CVE.
Pobierz Quix Free 6.3.4 → Użytkownicy Pro powinni pobrać pakiet ze swojego konta ThemeXpert. Joomla Guru może wykonać kopię, aktualizację i test stron Quix oraz pomóc w analizie podejrzanych zmian.
EasyStore dla Joomla otrzymał pilną aktualizację bezpieczeństwa. Wersja 3.0.1 usuwa siedem podatności, w tym wyciek danych osobowych klientów bez logowania, dwa błędy SQL injection, obejście uprawnień oraz brak ochrony CSRF w kilku operacjach sklepu. Publiczne rekordy CVE wskazują jako podatne wszystkie wydania od 1.0.0 do 3.0.0.
Najbardziej bezpośredni problem dotyczy zakupów gościnnych. Osoba bez konta mogła odpytać sklep o dane adresowe klienta, znając jego adres e-mail. Pozostałe błędy wymagają sesji klienta albo dostępu administracyjnego, lecz mogą prowadzić do odczytu bazy, zmiany ustawień i wykonywania operacji w imieniu zalogowanej osoby.
Jeśli aktualizacja sklepu wymaga przygotowania kopii i testów, Joomla Guru oferuje opiekę serwisową Joomla. Przy podejrzeniu wykorzystania luki, nieznanych kontach lub zmianach w plikach potrzebna może być analiza oraz usuwanie wirusów z Joomla.
SP Page Builder 6.9.0 i starsze wersje mają sześć nowych podatności. Najpoważniejsza pozwala użytkownikowi mogącemu zapisywać artykuły odczytać bazę Joomla przez ślepy SQL Injection. Dwie kolejne umożliwiają anonimowe ominięcie CAPTCHA w formularzach edycji Pro.
JoomShaper usunął problemy w SP Page Builder 6.9.1, wydanym 14 września 2026 roku. Aktualizacja dotyczy wersji Pro i bezpłatnej Lite. CAPTCHA bypass występuje tylko w Pro, lecz pozostałe luki obejmują obie edycje.
Pobierz SP Page Builder 6.9.1 Lite →
Pobierz SP Page Builder 6.9.1 Pro →
Wersja Pro wymaga zalogowania do konta JoomShaper oraz płatnej licencji. Jeśli Joomla nie wyświetla aktualizacji, sprawdź klucz pobierania i pobierz pakiet ręcznie. Przy tak świeżym wydaniu powiadomienie może pojawić się z opóźnieniem.
Aktualizację i kontrolę kilku witryn możemy wykonać w ramach opieki serwisowej Joomla. Jeżeli strona działała na podatnej wersji z kontami autorów lub redaktorów, trzeba sprawdzić sesje, użytkowników, pliki i bazę. W przypadku oznak włamania dostępna jest usługa usuwania wirusów i skutków ataku.
Formularz kontaktowy T4 Page Builder pozwalał anonimowej osobie wysyłać dowolne wiadomości z serwera i domeny właściciela strony. Atakujący wybierał odbiorcę, temat i treść HTML. Nie potrzebował konta ani tokenu formularza, a podatny endpoint nie ograniczał liczby żądań.
Problem opisuje CVE-2026-78374 z oceną 6,9 w CVSS 4.0. Podatne są wersje od 1.0.0 do 2.2.0. Poprawka znajduje się w T4 Page Builder 2.3.0.
Joomla Guru może wykonać kopię, ręczną aktualizację T4 Page Builder i test formularzy. Jeśli serwer wysyłał spam albo domena trafiła na czarne listy, możemy sprawdzić stronę, konta i pliki oraz przeprowadzić usuwanie skutków włamania.
Masz wrażenie, że treści na Twojej stronie Joomla gubią się w gąszczu informacji? Chciałbyś, aby użytkownicy łatwiej znajdowali powiązane tematycznie artykuły, a wyszukiwarki lepiej rozumiały strukturę Twojej witryny? Jeśli tak, to tagi w Joomla 6 są narzędziem, które musisz poznać!
TF Content w wersjach 2.9.0–2.9.4 ma dwie podatności dostępne bez logowania. Jedna pozwala wywołać opublikowane zadanie automatyczne przed zaplanowanym czasem. Druga umożliwia zmianę cudzego rekordu, w tym jego statusu publikacji i poziomu dostępu. Opisują je CVE-2026-102779 oraz CVE-2026-102780.
Według katalogu rozszerzeń Joomla dostępna jest już wersja 2.9.5, opublikowana 2 października 2026 r. Sprawdź numer zainstalowanego komponentu i pobierz aktualny pakiet od producenta. Przed wdrożeniem zrób kopię strony, zwłaszcza jeśli TF Content obsługuje formularze lub dane klientów.
Joomla Guru może pomóc w aktualizacji i kontroli działania formularzy. Przy podejrzeniu nieuprawnionych zmian potrzebna jest analiza rekordów i logów; zajmujemy się też usuwaniem skutków włamania.
W trzech rozszerzeniach OrdaSoft dla Joomla wykryto krytyczne podatności SQL Injection dostępne bez logowania. Problemy dotyczą Real Estate Manager, Vehicle Manager i Book Library. Każdy z tych komponentów ma również osobną lukę typu reflected XSS.
Najpoważniejsze błędy otrzymały ocenę 9,3 w skali CVSS 4.0. Atakujący nie potrzebuje konta ani uprawnień w Joomla. Wystarczy, że podatny widok rozszerzenia jest dostępny z internetu.
Jeżeli używasz któregoś z tych komponentów, nie czekaj wyłącznie na komunikat w panelu Joomla. Powiadomienie o aktualizacji może pojawić się z opóźnieniem albo nie zostać wyświetlone od razu. Sprawdź wersję ręcznie i pobierz aktualny pakiet bezpośrednio od producenta.
Joomla Guru może wykonać kopię, aktualizację rozszerzeń i test strony. Jeżeli komponent działał publicznie w podatnej wersji, możemy również przeprowadzić audyt bezpieczeństwa Joomla albo pomóc w usunięciu skutków włamania.