Projekt Joomla vydal 29. septembra 2026 Joomla 6.1.4 a Joomla 5.4.9. Tentoraz nejde iba o bežné opravné aktualizácie. Obe verzie sú oficiálne označené ako Security & Bugfix Release a prinášajú rozsiahly balík bezpečnostných opráv spolu s desiatkami menších korekcií systému.

Pre správcov Joomla stránok ide preto o aktualizáciu, ktorú sa neoplatí odkladať. Medzi odstránenými problémami sú chyby súvisiace s MFA, vytváraním používateľských účtov, ACL, Web Services API, XSS, SSRF aj manipuláciou s adresármi servera.

Joomla 5.4.9 má však zároveň jednu známu regresiu, na ktorú by si mali dať pozor najmä prevádzkovatelia stránok využívajúcich Joomla Web Services API.

Až 16 bezpečnostných opráv

Najvýznamnejšou informáciou vo finálnom oznámení je počet bezpečnostných problémov.

Joomla 6.1.4 a Joomla 5.4.9 opravujú 16 samostatne evidovaných bezpečnostných zraniteľností.

Ide o chyby z viacerých oblastí:

• Cross-Site Scripting (XSS),

• nesprávne kontroly ACL,

• obídenie autentifikácie MFA,

• neoprávnené vytvorenie používateľského účtu,

• Server-Side Request Forgery (SSRF),

• path traversal,

• Web Services API,

• workflow,

• históriu obsahu,

• tagy,

• HTML e-mailové šablóny,

• filtrovanie používateľského vstupu.

To robí z Joomla 6.1.4 a 5.4.9 podstatne významnejšiu aktualizáciu, než naznačoval pôvodný zoznam bežných bugfixov pred vydaním.

Neoprávnené vytvorenie používateľského účtu

Jednou zo zaujímavejších opráv je chyba v kontroléri profile.save.

Za určitých okolností nekontroloval, či je používateľ prihlásený. Výsledkom bola možnosť vytvorenia používateľského účtu s úrovňou hosťa dokonca aj na stránkach, kde bola registrácia používateľov vypnutá.

Joomla Security Strike Team označuje problém ako Moderate. Postihnuté sú Joomla verzie od 1.5.0 až po 5.4.8 a tiež Joomla 6.0.0 až 6.1.3.

Riešením je aktualizácia na Joomla 5.4.9 alebo 6.1.4.

Táto oprava je zaujímavá aj tým, že sa týka veľmi širokého rozsahu historických Joomla verzií. Staré Joomla stránky, ktoré zostali na internete bez údržby, tým získavajú ďalšiu známu zraniteľnosť, pre ktorú už v ich vetve nebude dostupná oprava.

MFA bolo možné obísť cez „Remember Me“

Medzi opravami sa nachádza aj ďalší problém týkajúci sa viacfaktorového overovania.

Chyba spôsobovala, že cookie funkcie Remember Me mohla byť vydaná príliš skoro, čo za určitých okolností umožňovalo obísť MFA.

Joomla Security Centre uvádza:

• Impact: High

• Severity: Moderate

• Probability: Moderate

Postihnuté sú Joomla 4.0.0 až 5.4.8 a Joomla 6.0.0 až 6.1.3.

Ak na administrátorských účtoch používate MFA – čo je správna bezpečnostná prax – je táto oprava ďalším silným dôvodom na rýchlu aktualizáciu.

Samotné zapnutie MFA totiž nemôže plniť svoju úlohu, ak existuje cesta, ktorou možno druhý faktor obísť.

Závažná chyba umožňujúca mazanie adresárov

Jedna z najvážnejších opravených chýb sa týka práce s cache.

Nesprávna validácia názvu skupiny cache umožňovala path traversal, ktorý mohol viesť k odstráneniu ľubovoľného adresára.

Joomla túto zraniteľnosť hodnotí ako:

Impact: High
Severity: High
Probability: Low

Postihnuté sú verzie Joomla 4.0.0 až 5.4.8 a 6.0.0 až 6.1.3.

Nízka pravdepodobnosť zneužitia neznamená, že je problém zanedbateľný. Potenciálny dopad je vysoký, pretože úspešné zneužitie môže zasiahnuť súborový systém webu.

SSRF v základných rozšíreniach Joomla

Ďalšia bezpečnostná chyba s vysokou závažnosťou sa týka Server-Side Request Forgery – SSRF.

Joomla nesprávne validovala URL používané pre požiadavky vykonávané serverom, čo vytváralo viacero potenciálnych SSRF vektorov v základných rozšíreniach.

Aj tento problém získal hodnotenie:

Impact: High
Severity: High
Probability: Low.

SSRF je nebezpečný tým, že útočník sa môže pokúsiť prinútiť samotný server, aby vykonal požiadavku na adresu, ku ktorej by z internetu priamo nemal prístup.

To môže byť obzvlášť relevantné pri komplexnejších hostingových, cloudových alebo interných infraštruktúrach.

Viacero opráv XSS

Aktualizácia obsahuje niekoľko samostatných opráv typu Cross-Site Scripting.

Problémy sa našli napríklad v:

• HTMLHelper::link,

• všeobecných Media layouts,

• HTML Mail Templates,

• rozložení toolbar odkazov,

• zozname modulov,

• samotnom InputFilter.

Mimoriadne zaujímavé sú posledné dve opravy filtra vstupu.

Jedna rieši nesúlad pri dekódovaní HTML5 entít. Filter mohol kontrolovať hodnotu atribútu ešte pred správnym dekódovaním HTML5 entít, čím vznikol priestor na obídenie kontroly schémy javascript:.

Druhá oprava rieši obchádzanie XSS filtra pomocou whitespace znakov v HTML data URI.

Pre bežného správcu nie je potrebné poznať technické detaily týchto útokov. Dôležité je, že aktualizácia spevňuje jednu zo základných vrstiev, ktorá má chrániť Joomla pred vložením nebezpečného HTML alebo JavaScript kódu.

Opravy ACL na viacerých miestach

Výraznú časť bezpečnostného balíka tvoria chyby v Access Control List – ACL.

Opravené boli problémy pri:

• Web Services endpointoch úrovní prístupu,

• porovnávaní histórie obsahu,

• zobrazovaní označených položiek,

• zmene stavov workflow,

• rôznych editačných operáciách Web Services API.

ACL patrí medzi najväčšie prednosti Joomla. Umožňuje presne definovať, ktorý používateľ alebo používateľská skupina môže konkrétny obsah vidieť, vytvárať, editovať alebo publikovať.

Práve preto sú chyby v kontrole oprávnení citlivou bezpečnostnou oblasťou.

Finálna aktualizácia opravuje hneď niekoľko takýchto prípadov.

Známy problém Joomla 5.4.9: Web Services API

Pri Joomla 5.4.9 je potrebné upozorniť na známu chybu, ktorú Joomla oficiálne potvrdila už pri vydaní.

Ak sa prostredníctvom Web Services API pokúsite pomocou požiadavky PATCH aktualizovať položku – napríklad banner alebo používateľský účet – operácia skončí fatálnou chybou.

Regresia vznikla pri prenose bezpečnostných opráv do vetvy Joomla 5.x. V súbore ApiController.php chýba potrebný use statement.

Joomla už pripravila riešenie a potvrdila, že bude zahrnuté do Joomla 5.4.10.

Koho sa problém týka?

Bežného firemného alebo obsahového webu pravdepodobne vôbec.

Problém je relevantný predovšetkým pre stránky a aplikácie, ktoré aktívne používajú Joomla Web Services API na editáciu dát pomocou PATCH požiadaviek.

Ak API nepoužívate, táto chyba nie je dôvodom na odkladanie bezpečnostnej aktualizácie.

Ak Web Services API používate, aktualizáciu najskôr otestujte a použite oficiálne zdokumentovaný workaround alebo počkajte na 5.4.10 podľa charakteru projektu.

Oprava problémov s tagmi

Okrem bezpečnostných zmien prináša aktualizácia množstvo bežných opráv.

Jedna z nich zabraňuje vytváraniu duplicitných záznamov v tabuľke #__ucm_content pri opakovanom ukladaní článkov obsahujúcich tagy.

Opravená bola tiež kontrola unikátnosti aliasov značiek.

Tieto zmeny sú dôležité najmä pre:

• magazíny,

• blogy,

• spravodajské portály,

• rozsiahle obsahové weby,

ktoré intenzívne využívajú tagovanie článkov.

Opravy Media Managera

Viacero zmien sa týka práce s médiami.

Joomla opravuje napríklad situáciu, keď duplicitný výber položiek v Media Manageri mohol následne vyvolať chybu 404 pri mazaní.

Ďalšia oprava umožňuje editoru obrázkov uložiť upravený súbor späť pod pôvodným názvom aj v prípade, že obsahuje non-ASCII znaky.

To je praktické aj pre slovenské stránky, kde sa môžu v názvoch súborov objavovať znaky mimo základnej ASCII sady.

Template Manager a overrides

Aktualizácia obsahuje tiež niekoľko opráv správcu šablón.

Rieši:

• chyby Template Managera,

• upozornenia pri prístupe k neexistujúcim zdrojovým súborom,

• nesprávne počítanie template overrides,

• chybu pri rozbaľovaní archívov šablón,

• problémy v ComponentlayoutField.

Pre vývojárov a tvorcov Joomla stránok, ktorí používajú vlastné šablóny, child templates alebo množstvo overrides, ide o užitočné údržbové zmeny.

Opravy viacjazyčnosti

Joomla 5.4.9 a 6.1.4 opravujú aj situáciu, pri ktorej sa mohli stratiť asociácie kategórií, ak bola jedna z preložených položiek znepublikovaná.

Pri viacjazyčných webových stránkach môže ísť o pomerne nepríjemnú chybu, pretože jazykové asociácie sú základom pre správne prepájanie obsahových variantov.

Prístupnosť kalendára

Do aktualizácie sa dostalo aj vylepšenie ovládania kalendára pomocou klávesnice.

Ide o jednu z menších zmien, ktorá však zapadá do dlhodobého úsilia Joomla o kvalitnejšie a prístupnejšie administračné rozhranie.

Schema.org a SEO

Aktualizácia opravuje niekoľko detailov súvisiacich so štruktúrovanými údajmi.

Logo v Schema.org JSON-LD výstupe má teraz používať absolútnu URL a opravené boli aj neplatné hodnoty jobLocationType v schéme JobPosting.

Pre bežného návštevníka webu ide o neviditeľné zmeny, ale správny schema.org výstup pomáha vyhľadávačom pochopiť obsah stránky.

Ďalšie praktické opravy

Finálny zoznam obsahuje aj množstvo menších zmien, napríklad:

• opravu hodnoty publish_up,

• správne rešpektovanie atribútov alternatívnych layoutov,

• opravu URL parametrov menu tagov,

• zobrazenie „Read more“ pri skrátenom texte v module článkov,

• bezpečnejší export bannerových štatistík do CSV,

• použitie hash_equals() pri overovaní TOTP,

• opravu Smart Search pre PostgreSQL,

• opravu vlastného poľa Image List pri open_basedir,

• opravu duplicitných možností vo vlastných poliach,

• opravu prekladov tlačidiel v TinyMCE builderi,

• opravu selektora kontextu workflow.

Nie všetky tieto chyby sa prejavia na každej stránke, ale spoločne predstavujú významné zvýšenie stability aktuálnych vetiev Joomla.

Joomla 6.1.4 obsahuje aj opravy Proof-of-Work CAPTCHA

Vo vetve Joomla 6.1 boli opravené aj problémy nového Proof-of-Work CAPTCHA.

Jedna zo zmien odstraňuje CSRF token check, ktorý nebol v tomto prípade vhodný.

Ide o funkciu predstavenú v Joomla 6.1 ako natívnu možnosť ochrany formulárov proti automatizovanému spamu bez závislosti od externého poskytovateľa CAPTCHA.

Ak Proof-of-Work CAPTCHA na svojom webe používate, aktualizácia je o to relevantnejšia.

Má zmysel aktualizovať okamžite?

Áno.

V prípade Joomla 6.1.4 a 5.4.9 už nejde iba o odstránenie kozmetických alebo funkčných chýb.

Aktualizácia opravuje 16 bezpečnostných problémov a pri niektorých z nich Joomla uvádza vysoký dopad alebo vysokú závažnosť.

Odporúčanie pre produkčné stránky preto znie:

aktualizáciu zbytočne neodkladať, ale vykonať ju kontrolovaným spôsobom po vytvorení zálohy.

Odporúčaný postup aktualizácie

Pred aktualizáciou:

1. vytvorte kompletnú zálohu súborov a databázy,

2. aktualizujte používané rozšírenia,

3. overte kompatibilitu šablóny,

4. pri dôležitom webe vykonajte aktualizáciu najskôr na testovacej kópii.

Po aktualizácii skontrolujte:

• frontend stránky,

• administráciu,

• prihlasovanie,

• MFA,

• kontaktné a registračné formuláre,

• vyhľadávanie,

• Media Manager,

• viacjazyčné asociácie,

• vlastné polia,

• template overrides.

Ak prevádzkujete Joomla 5.4.9 a používate Web Services API, navyše otestujte PATCH požiadavky a riaďte sa oficiálnym workaroundom.

Joomla 5 sa blíži ku koncu bugfix podpory

Joomla zároveň pripomína, že séria Joomla 5.4.x dostáva bežné bugfix opravy iba do 13. októbra 2026.

Bezpečnostné aktualizácie budú pre Joomla 5 pokračovať až do 12. októbra 2027.

To znamená, že používatelia Joomla 5 nemusia prechádzať na Joomla 6 zo dňa na deň, ale prípravu upgradu už netreba odkladať.

Je vhodné preveriť najmä:

• kompatibilitu komponentov,

• pluginov,

• modulov,

• šablóny,

• vlastných úprav,

• template overrides.

Joomla pritom označuje prechod z 5.4.x na Joomla 6 za upgrade, nie migráciu. Mnohé aktuálne Joomla 5 rozšírenia budú fungovať priamo alebo pomocou pluginu spätnej kompatibility Behaviour 6.

A čo Joomla 6.2?

V rovnaký deň ako Joomla 6.1.4 bol zverejnený aj Joomla 6.2 Release Candidate.

To znamená, že vývoj ďalšej minor verzie už vstúpil do poslednej testovacej fázy.

Na produkčných stránkach však treba naďalej používať stabilnú Joomla 6.1.4. Release Candidate je určený na testovanie, nie na ostrú prevádzku.

Záver

Joomla 6.1.4 a Joomla 5.4.9 sú výrazne dôležitejšie aktualizácie, než by naznačovalo ich malé zvýšenie čísla verzie.

Opravujú 16 bezpečnostných zraniteľností, medzi nimi obídenie MFA, neoprávnené vytváranie používateľských účtov, viacero chýb ACL, XSS, SSRF aj zraniteľnosť umožňujúcu mazanie adresárov.

K tomu pribúdajú desiatky opráv týkajúcich sa tagov, Media Managera, Template Managera, viacjazyčnosti, vlastných polí, workflow, prístupnosti a štruktúrovaných údajov.

Aktualizáciu Joomla 6.1.3 → 6.1.4 preto odporúčame vykonať čo najskôr po vytvorení zálohy a základnom otestovaní stránky.

To isté platí pre Joomla 5.4.8 → 5.4.9, s jednou dôležitou výnimkou: ak používate Web Services API a PATCH požiadavky, najskôr zohľadnite známu regresiu Joomla 5.4.9 a oficiálny workaround. Oprava bude súčasťou Joomla 5.4.10.

Pre majiteľov Joomla 5 stránok je zároveň vhodný čas začať plánovať upgrade na Joomla 6. Bežná bugfix podpora Joomla 5.4.x sa totiž končí už 13. októbra 2026.