Nyílt forráskódú üzleti platformok, 2026. 40. hete: magas súlyosságú Joomla-hibák vezetik a 30 biztonsági közleményt

A kiadás röviden

A Joomla!, a Moodle és a Frappe/ERPNext karbantartói 30 sérülékenységet tettek közzé a 2026. szeptember 28. és október 4. közötti héten. Ebből 28-hoz CVE-azonosító tartozik, 2 pedig GitHub biztonsági közlemény (GHSA). A kiadás 7 magas, 18 közepes, 4 alacsony súlyosságú és 1 pontszám nélküli sérülékenységet tartalmaz. Termékenként nézve a Joomla!-hoz 16, a Moodle-hoz 12, a Frappe/ERPNext-hez pedig 2 biztonsági közlemény tartozik. A kiadásban szereplő egyik sérülékenység sem szerepel a CISA KEV listáján, és ismert aktív kihasználásról sem érkezett jelentés.

A legfontosabb prioritás a Joomla! CMS, ahol egy magas pontszámú SSRF, egy MFA-megkerülés és több jogosultság-ellenőrzési hiba mellett bemeneti szűréssel kapcsolatos problémák is vannak. A Moodle legnagyobb figyelmet kapó eleme egy CSRF-hiba az XML-alapú jegyimportálásban. A két Frappe Framework biztonsági közlemény közül az egyik közepes súlyosságú, a másik pontszám nélküli; javított verziót egyikhez sem tüntettek fel.

A legfontosabbak

A Joomla! CMS-ben a CVE-2026-92222 SSRF-hiba különböző, az alaprendszerhez tartozó kiterjesztésekben; CVSS 4.0 pontszáma 8,9. A hibát a Joomla! CMS 5.4.9 és 6.1.4 verziója javítja. A CVE-2026-92227 az MFA-hitelesítés megkerülését teszi lehetővé a remember-me sütik révén; CVSS 4.0 pontszáma 8,2, a hiba hálózatról elérhető, és nem igényel előzetes jogosultságot. A CVE-2026-92232 és a CVE-2026-92231 két különálló XSS-szűrő-megkerülés az InputFilterben; mindkettő CVSS 4.0 pontszáma 7,1, és a Joomla! CMS-t, valamint a Joomla! Framework Filter csomagot érinti. A CVE-2026-90913 és a CVE-2026-92226 nem megfelelő ACL-ellenőrzést jelent a webszolgáltatás-végpontoknál és a szerkesztési feladatoknál; mindkettő CVSS 4.0 pontszáma 7,0. A CVE-2026-90915 a gyorsítótár-ürítési műveleten keresztül tetszőleges könyvtárak törlését teszi lehetővé; CVSS 4.0 pontszáma 7,0. A csoportba tartozó Joomla CVE-khez ezen a webhelyen külön riasztások érhetők el.

A Moodle esetében a CVE-2026-102588 CSRF-hiba az XML-alapú jegyimportálásban; CVSS 3.1 pontszáma 6,5. A támadó rávehet egy hitelesített, jegykezelési jogosultsággal rendelkező felhasználót, hogy jogosulatlan jegybeírásokat váltson ki. A Moodle javított verzióként az 5.2.2, 5.1.6, 5.0.9 és 4.5.13 verziókat sorolja fel.

Javítási sorrend

1. Először a Joomla! CMS-t javítsa, különösen az internetről elérhető webhelyeknél, a Joomla! CMS 5.4.9 vagy 6.1.4 verzióra. Kezdje a CVE-2026-92222, CVE-2026-92227, CVE-2026-92232, CVE-2026-92231, CVE-2026-90913, CVE-2026-92226 és CVE-2026-90915 azonosítókkal, majd telepítse a kiadásban szereplő többi Joomla-javítást is.
2. Ha a Joomla! Framework Filter csomagot a CMS-től függetlenül használja, vizsgálja meg, hogy érinti-e a CVE-2026-92232 és a CVE-2026-92231. A kiadás megadja az érintett csomag-verziótartományokat, de külön csomagjavítást nem tartalmaz.
3. Frissítse a Moodle-t a CVE-2026-102588-hoz tartozó javított verzióágak egyikére: 5.2.2, 5.1.6, 5.0.9 vagy 4.5.13. Ugyanabban a karbantartási időablakban tekintse át a Moodle többi közepes és alacsony súlyosságú problémáját is.
4. Tekintse át a két Frappe/ERPNext biztonsági közleményt: GHSA-h9jq-7pgf-hw8q és GHSA-wrh5-p77r-jpvq. Mivel ezekhez nem adtak meg javított verziókat, ellenőrizze a projekt iránymutatását és a saját telepítésének részleteit.
5. A fennmaradó közepes és alacsony súlyosságú Joomla- és Moodle-javításokat ütemezze a következő szokásos karbantartási időablakra; egyik sem szerepel a CISA KEV listáján.

A javításon túl

Ez a hét akkor kezelhető, ha a platformleltár és a nyilvánosan elérhető rendszerek köre már ismert: a javítások a karbantartók verziófrissítései, a közvetlen kockázatot pedig az internetről elérhető Joomla- és Moodle-telepítések jelentik. Nyilvános webhely vagy webáruház-platform esetén a Bevezetési és felmérési szolgáltatások révén penetrációs teszt és hardening-felülvizsgálat végezhető annak felmérésére, hogy egy támadó mihez férhet hozzá. Azon csapatok számára, amelyek több nyílt forráskódú üzleti platformot üzemeltetnek, az Ellátási lánc védelem és harmadik fél kockázat szolgáltatás nyomon követi, hogy mely platformoktól és verzióktól függenek, és milyen gyorsan adnak ki javításokat a karbantartók, így a biztonsági közlemények következő ciklusa megtervezett javítási listává válik.