Ako ochrániť Joomla web pred útokmi na JCE Editor a SP Page Builder

JCE Editor a SP Page Builder patria medzi najpoužívanejšie rozšírenia pre systém Joomla. V júni 2026 sa však v oboch produktoch objavili kritické bezpečnostné chyby, ktoré útočníkom umožňovali bez prihlásenia nahrať na server škodlivý PHP súbor a následne prevziať kontrolu nad webovou stránkou.

Nešlo iba o teoretické chyby. Americká agentúra CISA zaradila zraniteľnosti CVE-2026-48907 v JCE Editore aj CVE-2026-48908 v SP Page Builderi medzi aktívne zneužívané bezpečnostné nedostatky.

Majitelia Joomla stránok by preto nemali kontrolovať iba čísla nainštalovaných verzií. Dôležité je preveriť aj to, či stránka nebola napadnutá ešte pred vykonaním aktualizácie.

Čo sa stalo s JCE Editorom

Zraniteľnosť CVE-2026-48907 postihovala JCE Editor vo verziách od 1.0.0 až po 2.9.99.4. Chyba umožňovala neprihlásenému návštevníkovi vytvoriť alebo importovať nový profil editora. Prostredníctvom takto upraveného profilu mohol útočník povoliť nahrávanie PHP súborov a následne ich spustiť na serveri.

Zraniteľnosť získala hodnotenie 10,0 – kritická. Opravená bola vo verzii 2.9.99.5, pričom ďalšie verzie pridali dodatočné bezpečnostné opatrenia. Vývojár JCE odporúča používať najmenej verziu 2.9.99.9, ktorá bola vydaná 8. júla 2026.

Útoky boli automatizované. Ohrozené preto mohli byť aj stránky, ktoré nemali zapnutú registráciu používateľov alebo verejné pridávanie článkov.

Kritická chyba v SP Page Builderi

Podobný problém bol objavený aj v rozšírení SP Page Builder. Zraniteľnosť CVE-2026-48908 umožňovala neprihlásenému útočníkovi nahrať ľubovoľný súbor a následne na serveri spustiť PHP kód.

Podľa databázy NVD boli zraniteľné verzie 1.0.0 až 6.6.1. Oprava bola zahrnutá do verzie 6.6.2 vydanej 15. júna 2026.

Majitelia stránok by však nemali zostať pri minimálnej opravenej verzii. K 28. júlu 2026 je dostupný SP Page Builder 6.7.1, ktorý prináša ďalšie úpravy validácie vstupov, riadenia prístupu, správcu médií a formulárov. Predchádzajúca verzia 6.7.0 zároveň zaviedla zoznam povolených typov súborov pri rozbaľovaní balíkov s ikonami.

Samotná aktualizácia nemusí stačiť

Aktualizácia rozšírenia uzatvorí zraniteľný vstup, ale neodstráni súbory, používateľské účty alebo zadné vrátka, ktoré útočník nahral ešte pred aktualizáciou.

Vývojár JCE na túto skutočnosť výslovne upozorňuje: aktualizácia zabráni ďalšiemu zneužitiu chyby, ale už napadnutú stránku automaticky nevyčistí.

Preto treba rozlišovať dve situácie:

• Stránka nebola napadnutá: stačí ju aktualizovať a vykonať preventívnu kontrolu.
• Stránka bola alebo mohla byť napadnutá: je potrebné vykonať úplnú bezpečnostnú analýzu, odstrániť škodlivý obsah alebo obnoviť čistú zálohu.

Ako okamžite zabezpečiť Joomla stránku

1. Vytvorte zálohu aktuálneho stavu

Pred zásahom vytvorte kópiu databázy aj všetkých súborov. Ak je stránka napadnutá, záloha môže obsahovať škodlivý kód, ale môže byť potrebná na neskoršiu analýzu logov, súborov a času útoku.

Zálohu neukladajte iba do rovnakého hostingového účtu. Stiahnite ju do lokálneho počítača alebo na samostatné úložisko.

2. Aktualizujte JCE Editor

V administrácii otvorte:

Systém → Aktualizácie → Rozšírenia

Nainštalujte najnovšiu dostupnú verziu JCE. K dátumu vydania článku je odporúčaná verzia:

• JCE Editor alebo JCE Pro 2.9.99.9 alebo novšia

Ak stará stránka nespĺňa požiadavky novej verzie, vývojár poskytuje dočasný opravný balík pre vybrané staršie verzie JCE. Ide však iba o prechodné riešenie. Stránka na nepodporovanej verzii PHP alebo Joomla môže obsahovať ďalšie neopravené chyby.

3. Aktualizujte SP Page Builder

Verzie SP Page Buildera do 6.6.1 sa nesmú na produkčnej stránke ďalej používať. Aktualizujte minimálne na 6.6.2, ideálne na najnovšiu dostupnú verziu.

K 28. júlu 2026 je aktuálna verzia:

• SP Page Builder 6.7.1

Pred aktualizáciou vytvorte zálohu a zmenu najskôr otestujte na kópii stránky. Pri starších šablónach môžu vzniknúť problémy s kompatibilitou, tie však nie sú dôvodom na ponechanie kriticky zraniteľného rozšírenia.

4. Aktualizujte aj Joomla, šablónu a ostatné rozšírenia

Útočník môže po prvom preniknutí využiť ďalšie zastarané komponenty, pluginy alebo šablóny. Skontrolujte preto:

• jadro Joomla,
• šablónu a jej framework,
• systémové pluginy,
• komponenty na správu médií a súborov,
• formuláre,
• zálohovacie a bezpečnostné rozšírenia.

SP Page Builder býva často používaný spolu s frameworkom Helix Ultimate. Aktualizácia iba samotného page buildera preto nemusí vyriešiť všetky riziká v starom inštalačnom balíku.

Ako zistiť napadnutie cez JCE Editor

V administrácii otvorte:

Komponenty → JCE Editor → Profily editora

Skontrolujte, či sa v zozname nenachádza:

• profil, ktorý ste nevytvorili,
• profil s náhodným alebo nezmyselným názvom,
• nový profil umiestnený na začiatku zoznamu,
• profil povoľujúci nahrávanie súborov PHP, PHAR, PHTML alebo iných spustiteľných formátov,
• profil priradený skupine Guest alebo Public bez zjavného dôvodu.

Podozrivým príznakom môže byť aj zmiznutie pôvodného panela nástrojov JCE alebo jeho nahradenie veľmi jednoduchým editorom.

V serverových logoch vyhľadajte požiadavky obsahujúce:

option=com_jce&task=profiles.import

Skontrolujte tiež adresáre:

/images
/media
/tmp

PHP súbory sa v týchto priečinkoch za bežných okolností nemajú nachádzať. Pozornosť venujte aj súborom s dvojitou príponou, napríklad obrazok.php.jpg, subor.php.xml alebo názvom obsahujúcim reťazec php.

Ako preveriť útok na SP Page Builder

V prístupových logoch webového servera vyhľadajte požiadavky na úlohu:

option=com_sppagebuilder&task=asset.uploadCustomIcon

Pri zneužívaní tejto funkcie mohli byť škodlivé súbory uložené najmä v adresároch určených pre vlastné balíky ikon, napríklad pod:

/media/com_sppagebuilder/assets/iconfont/

Skontrolujte najmä:

• neznáme PHP súbory,
• náhodne pomenované priečinky,
• súbory vytvorené v čase, keď nikto stránku neupravoval,
• nedávno zmenené súbory index.php alebo .htaccess,
• PHP súbory v priečinkoch s obrázkami, ikonami a fontmi,
• neznáme administrátorské účty,
• zmeny vlastného JavaScriptu a vlastného CSS,
• presmerovania, reklamné odkazy alebo skrytý spam.

Samotná prítomnosť neznámeho súboru ešte nemusí dokazovať útok. Podozrivé súbory však nemažte bez vytvorenia kópie a overenia ich pôvodu.

Čo urobiť pri potvrdenom napadnutí

Ak nájdete škodlivý profil, webshell alebo neznámeho administrátora, považujte celú stránku za kompromitovanú.

Odporúčaný postup je:

1. Dočasne zablokujte verejný prístup k stránke.
2. Uchovajte kópiu podozrivých súborov a serverových logov.
3. Aktualizujte zraniteľné rozšírenie, aby sa útok nemohol zopakovať počas čistenia.
4. Odstráňte podvodné profily JCE a neznáme používateľské účty.
5. Vykonajte serverovú kontrolu všetkých súborov.
6. Porovnajte systémové súbory s čistými inštalačnými balíkmi Joomla a jednotlivých rozšírení.
7. Zmeňte heslá do Joomla, hostingu, databázy, SFTP, e-mailových schránok a zálohovacích služieb.
8. Zrušte aktívne používateľské relácie.
9. Zapnite viacfaktorové overovanie.
10. Ak nie je možné spoľahlivo určiť všetky vykonané zmeny, obnovte zálohu vytvorenú pred prvým záznamom útoku.

Vývojár JCE odporúča po napadnutí zmeniť administrátorské, databázové aj hostingové prihlasovacie údaje a vykonať úplnú serverovú kontrolu malvéru.

Dlhodobá ochrana Joomla stránky

Obmedzte počet rozšírení

Každé rozšírenie pridáva nový kód, nové funkcie a potenciálne aj nový vstup pre útočníka. Odstráňte nepoužívané komponenty, pluginy, moduly a šablóny. Nestačí ich iba vypnúť – pokiaľ zostávajú na serveri, ich súbory môžu byť naďalej dostupné.

Aj praktické príklady Joomla projektov odporúčajú udržiavať počet rozšírení na nevyhnutnom minime, čím sa znižuje bezpečnostné riziko aj záťaž stránky.

Obmedzte nahrávanie súborov

V JCE povoľte iba typy súborov, ktoré redaktori skutočne potrebujú. Bežný používateľ spravidla nepotrebuje nahrávať PHP, JavaScript, archívy ani spustiteľné súbory.

Na úrovni servera je vhodné zakázať spúšťanie PHP v priečinkoch určených na obrázky a používateľské súbory. Nastavenie však treba najskôr otestovať, pretože niektoré rozšírenia môžu mať špecifické požiadavky.

Používajte princíp najnižších oprávnení

Redaktor článkov nemusí byť Super User. Používateľom prideľujte iba práva potrebné na ich prácu a pravidelne kontrolujte skupiny, prístupové úrovne a oprávnenia komponentov.

Joomla obsahuje podrobný systém ACL a podporuje viacfaktorové overovanie aj bezpečnostné HTTP hlavičky. Tieto možnosti sú súčasťou základného bezpečnostného spevnenia stránky.

Zapnite monitoring

Bezpečnostný dohľad by mal upozorňovať aspoň na:

• vytvorenie nového administrátora,
• zmenu súborov PHP,
• zmenu .htaccess,
• vznik PHP súboru v priečinku s médiami,
• opakované požiadavky na zraniteľné úlohy komponentov,
• neúspešné prihlasovania,
• nečakané zmeny domovskej stránky.

Dôležité sú aj serverové logy. Mnohé hostingy ich uchovávajú iba niekoľko dní alebo týždňov, preto je vhodné pravidelne ich archivovať.

Udržiavajte obnoviteľné zálohy

Záloha je použiteľná iba vtedy, keď:

• obsahuje súbory aj databázu,
• je uložená mimo napadnutého servera,
• existuje viac historických verzií,
• je pravidelne testovaná jej obnova.

Pri útoku potrebujete zálohu vytvorenú pred preniknutím útočníka, nie iba poslednú automatickú zálohu, ktorá už môže obsahovať škodlivý kód.

Záver

Útoky na JCE Editor a SP Page Builder ukázali, že ani populárne a aktívne vyvíjané rozšírenia nie sú bez rizika. Najdôležitejšou ochranou je rýchla aktualizácia, ale pri aktívne zneužívanej chybe treba počítať aj s možnosťou, že stránka bola napadnutá ešte pred nainštalovaním opravy.

Pre bezpečnú prevádzku Joomla stránky preto nestačí iba kliknúť na tlačidlo Aktualizovať. Potrebná je kombinácia aktuálneho softvéru, kontroly serverových logov, obmedzených oprávnení, monitoringu súborov, viacfaktorového overovania a spoľahlivých záloh.