Критическая уязвимость CVE-2026-97163 в Joomla-плагине UP от lomart.fr позволяет удалённо устанавливать код без аутентификации
В Joomla-плагине UP от разработчика lomart.fr обнаружена критическая уязвимость CVE-2026-97163 с оценкой CVSS 10.0. Неаутентифицированный злоумышленник может удалённо устанавливать произвольный код на уязвимые сайты. Под угрозой все инсталляции с версиями расширения 5.0.0–5.2.0 и 6.0.0–6.0.29.
Подробности
Уязвимость классифицируется как неаутентифицированная удалённая установка кода (unauthenticated remote code installation). Это означает, что злоумышленнику не требуются учётные данные администратора Joomla или иной доступ к панели управления — достаточно сетевого доступа к уязвимому сайту. Затронуты следующие версии расширения UP для Joomla: - 5.0.0 – 5.2.0; - 6.0.0 – 6.0.29. Продукт распространяется через сайт разработчика lomart.fr. Уязвимость присутствует именно в коде расширения, а не в ядре Joomla, поэтому стандартные обновления CMS проблему не закрывают. Оценка CVSS 10.0 отражает сочетание факторов: низкую сложность эксплуатации, отсутствие необходимости в аутентификации и высокое влияние на конфиденциальность, целостность и доступность системы. Успешная эксплуатация позволяет выполнить произвольный код в контексте веб-сервера, что открывает путь к полному захвату сайта, внедрению веб-шеллов, краже данных и использованию ресурсов хостинга в дальнейших атаках. На момент публикации записи CVE сведения о наличии публичного эксплойта в самой записи не приводятся, однако критический характер уязвимости и массовость использования расширений Joomla делают риск реальным уже в ближайшее время.Что делать
Владельцам и администраторам сайтов на Joomla, использующим расширение UP от lomart.fr, рекомендуется незамедлительно: 1. Проверить установленную версию расширения UP через панель администратора Joomla (Система → Управление расширениями) или напрямую в файловой системе. 2. Если версия попадает в диапазоны 5.0.0–5.2.0 или 6.0.0–6.0.29, как можно скорее обновиться до исправленной версии, предоставленной разработчиком lomart.fr. Следите за официальными каналами вендора для получения актуальной информации о патче. 3. Если обновление невозможно в кратчайшие сроки, рассмотреть временное отключение расширения UP до момента установки исправления. 4. Ограничить доступ к административным и служебным разделам сайта средствами веб-сервера, WAF или reverse-proxy. 5. Провести проверку журналов веб-сервера и файловой системы на предмет подозрительной активности: необычных POST-запросов, новых PHP-файлов, изменений в каталогах расширений. Дополнительно рекомендуется усилить мониторинг целостности файлов сайта и настроить оповещения о подозрительных изменениях. Итог: CVE-2026-97163 — уязвимость критического уровня, позволяющая неаутентифицированному атакующему устанавливать произвольный код на сайты Joomla с уязвимыми версиями плагина UP от lomart.fr. Единственная надёжная мера защиты — срочное обновление расширения до исправленной версии; при невозможности обновления расширение следует отключить.Источник: CVE Project (cvelistV5)