Lühidalt: Joomla turvaauk, millest praegu räägitakse, kannab nime PHP2Shell ja asub serveri PHP-s, mitte Joomlas. Joomla uuendus seda ei sulge. Pärast PHP paika ja taaskäivitust kontrollige configuration.php, malli ülekirjutusi, laiendusi ja Super User'ite loendit.
Mida PHP2Shell Joomla jaoks tähendab
Joomla on PHP sisuhaldussüsteem ja pärib kõik selle all oleva PHP nõrkused. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi käivitamist ilma sisselogimiseta. Mõjutatud on tavalised töörežiimid PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed.
Eriti väiksemad Joomla veebisaidid ühingutel, käsitööettevõtetel või liitudel töötavad sageli jagatud majutusel ja neid hooldatakse harva. Seal on PHP uuendus majutaja käes. Teie ülesanne on seis järele pärida ja veebisaiti jälgede suhtes kontrollida. Millised versioonid on mõjutatud, näitab leht Millised PHP versioonid on mõjutatud?.
Joomla turvaauk: PHP versiooni kontrollimine
Administraatoriosas näitab System > Süsteemiinfo PHP versiooni ja olulisemaid PHP sätteid. See on versioon, millega Joomla veebis tegelikult töötab. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Kui Joomla näitab vanemat numbrit, võib tagasiportimine siiski sisse toodud olla; seda peab teie majutaja kinnitama.
Jagatud majutuse puhul saab PHP versiooni sageli majutaja kliendimenüüs domeeni kaupa ümber lülitada. See vahetab aga ainult majutaja pakutavate versioonide vahel; kas need on paigatud, otsustab majutaja. Üleminek uuemale peaversioonile võib siiski mõistlik olla, kui teie Joomla versioon ja kõik laiendused seda toetavad. Testige seda enne, sest vanemad laiendused katkevad uuemate PHP versioonidega sageli veateatega.
Joomla ise nimetab PHP miinimumnõuded peaversiooni kaupa. Milliseid PHP versioone teie Joomla versioon toetab, kontrollige süsteeminõuete järgi lehel joomla.org. Väga vanade Joomla versioonide puhul võib PHP vahetus kõigepealt nõuda Joomla upgrade'i.
Tüüpilised peidukohad kahjulikule koodile Joomlas
| Koht | Sisu | Mida jälgida |
|---|---|---|
configuration.php |
Andmebaasi ligipääs, $secret, logide ja ajutiste failide rajad |
Muutmiskuupäev, sissetoodud kood |
images/, media/ |
Pildid ja meedia | PHP failid on kahtlased |
tmp/ |
Ajutised failid, ka paigaldustest | Võõraste pakettide jäägid |
templates/<name>/html/ |
Malli ülekirjutused PHP koodiga | Tundmatud või muudetud ülekirjutused |
plugins/system/ |
Süsteemipluginad, mis laaditakse igal päringul | Tundmatud pluginad |
administrator/logs/ |
Logid | Enne muudatusi varundada |
.htaccess |
Suunamised, Rewrite-reeglid | Suunamised ainult otsingumootoritele |
Süsteemipluginad on eriti populaarsed, sest need käivitatakse iga lehepäringuga. Tundmatut plugin'at selles kaustas peaksite alati suutma selgitada.
Ohutud kontrollid käsurealt (Joomla 4 ja uuem toob kaasa oma konsooli):
# PHP failid meedia- ja ajutistes kaustades
find images media tmp -type f -name "*.php"
# Kasutajate ja laienduste loetlemine
php cli/joomla.php user:list
php cli/joomla.php extension:list
Kui teie Joomla veebisait suunab külastajad Google'ist võõrastele lehtedele või Google näitab hoiatust, on server väga tõenäoliselt juba kompromiteeritud. Siis ei piisa uuendusest, vaja on puhastamist ja seejärel kontrolli Search Console'is.
Administraatori ligipääs ja laiendused
Administraatoriosa asub aadressil /administrator. Kontrollige kasutajagruppi „Super Users“ tundmatute kontode ja endiste teenuseosutajate kontode suhtes. Aktiveerige Joomla kaasatoodud kaheastmeline autentimine ja kasutage jagatud kontode asemel isiklikke.
Joomla Extensions Directory ja kolmandate osapoolte laiendusi on paljudel veebisaitidel palju: vormid, galeriid, lehe ehitajad, uudiskirjad. Igaüks toob kaasa oma PHP koodi ja sageli oma üleslaadimisfunktsioonid. Laiendused, mille pakkuja enam uuendusi ei anna, on püsiv risk ja raskendavad iga PHP-upgrade'i. Desinstallige kasutamata laiendused täielikult.
Mida Joomla uuendus suudab ja mida mitte
Joomla uuendus asendab tuumikufailid ja sulgeb Joomla teadaolevad augud. See ei paiga PHP-d, ei puuduta malli ülekirjutusi ja kolmandate osapoolte laiendusi ega eemalda faile, mis ei kuulu tuumiku juurde. Ka andmebaasikirjed, nagu uued Super User'id, jäävad alles.
Kui teie veebisaiti on juba muudetud, aitab kulg lehel Veebisait häkitud? Hädaabi kaugtööna. Tagauste otsimiseks tasub lugeda juhendit Veebikestade tuvastamine ja eemaldamine.
Kui teie Joomla veebisaidi on seadistanud agentuur või vabakutseline, küsige neilt, milliseid laiendusi ja malle on individuaalselt kohandatud. Kohandatud faile ei saa lihtsalt originaalpaketiga võrrelda ja need vajavad üksikkontrolli.
Kuidas PHP SOS konkreetselt aitab?
- Päringime PHP seisu teie majutajalt või kontrollime seda teie serveris, sealhulgas taaskäivitust.
- Varundame logid, failid ja andmebaasi enne iga muudatust.
- Võrdleme tuumikut originaalpaketiga ning kontrollime ülekirjutusi, süsteemipluginaid, meediakaustu ja Super User'eid.
- Leidude korral puhastame veebisaidi, uuendame ligipääsud ja toetame Google'i hoiatuste eemaldamist.
Korduma kippuvad küsimused
Kas Joomla on PHP2Shellist mõjutatud?
Joomlal endal uut turvaauku ei ole, kuid see töötab PHP peal. Kui serveri PHP ei ole paigatud, võib ründaja PHP meeskonna andmetel koodi käivitada ilma sisselogimiseta. Joomla uuendus seda ei muuda.
Kust ma Joomlas PHP versiooni leian?
Administraatoriosas menüüs System > Süsteemiinfo. Seal näete ka PHP sätteid. Kas tagasiportimine (backport) on sisse toodud, numbrist ei selgu; seda peab kinnitama teie majutaja.
Miks on malli ülekirjutused (template override) risk?
Ülekirjutused asuvad malli kaustas ja sisaldavad PHP koodi, mis asendab komponentide ja moodulite väljundi. Sissetoodud kood jääb seal vaevu silma, sest Joomla uuendused ülekirjutusi ei asenda.