AcyMailing 11.1.1: kolejne poprawki bezpieczeństwa. Aktualizacja 19.10.2026

Aktualizacja 19 października 2026 r.: zalecamy AcyMailing 11.1.1 lub nowsze wydanie. Producent w wersji z 5 października zablokował HTML w wartościach pól niestandardowych, oznaczając zmianę dla Joomla i WordPress. Poprawił też system aktualizacji Joomla. Wcześniejsze zalecenie instalacji 11.1.0 nie uwzględniało tych zmian.

AcyMailing 11.1.0 zawiera dwie istotne poprawki bezpieczeństwa związane z obsługą plików. Pierwsza dotyczy akcji skrzynki działających przez POP3, druga pól niestandardowych typu File. W podatnej konfiguracji możliwe było zapisanie niebezpiecznego pliku w katalogu strony albo usunięcie pliku znajdującego się poza przeznaczonym katalogiem uploadu.

Producent wydał wersję 11.1.0 24 września 2026 roku. Dwa dni później opublikowano rekordy CVE-2026-94132 (CVSS 9,5) i CVE-2026-94131 (CVSS 8,3). Obejmują wersje od 6.0.0 do 11.0.5. Instalacje starsze niż 11.1.0 należy sprawdzić i zaktualizować.

Joomla Guru może przeprowadzić aktualizację i test AcyMailing. Jeżeli w katalogu uploadu znajdują się obce pliki PHP lub konfiguracja witryny została uszkodzona, potrzebna jest pełna kontrola i usuwanie wirusów z Joomla.

Nowy CVE i poprawka pól w AcyMailing 11.1.1

13 października opublikowano CVE-2026-102562 z oceną CVSS 3.1: 7,2 (wysoka). Rekord opisuje zapisany XSS w AcyMailing dla WordPress do wersji 11.1.0 włącznie. Osoba bez konta może zapisać złośliwą wartość pola przez publiczny formularz subskrypcji. Skrypt uruchamia się przy otwarciu odpowiedniej wersji online wiadomości, również przez administratora korzystającego z historii subskrybenta.

Zakres tego CVE formalnie obejmuje WordPress. Sam rekord nie potwierdza identycznej podatności w Joomla. Jednocześnie changelog producenta oznacza blokadę HTML w polach w 11.1.1 jako zmianę dla obu platform. Jest to powód, aby zaktualizować również instalacje Joomla. Nie potwierdziliśmy testem, że opisany scenariusz WordPress działa na Joomla.

Po instalacji sprawdź własne pola formularzy i personalizację wiadomości. Jeśli wykorzystywano w nich HTML, nowe ograniczenie może zmienić sposób wyświetlania wartości. W razie podejrzenia wykorzystania XSS przejrzyj istniejące wartości pól subskrybentów; sama aktualizacja nie potwierdza, że wcześniej zapisane dane są bezpieczne.

Co producent poprawił w AcyMailing 11.1.0?

Oficjalny changelog zawiera dwa krótkie wpisy. Pierwszy mówi o zwiększeniu bezpieczeństwa niektórych pól niestandardowych. Drugi informuje o poprawieniu problemu bezpieczeństwa w bardzo szczególnym scenariuszu dotyczącym akcji skrzynki.

Porównanie publicznego kodu wersji AcyMailing 11.0.5 i 11.1.0 pokazuje, że zmiany obejmują kontrolę rozszerzeń zapisywanych plików, normalizację nazw oraz sprawdzanie, czy usuwany plik znajduje się we właściwym katalogu. Producent nie opublikował osobnego komunikatu bezpieczeństwa.

Niebezpieczny zapis pliku przez akcje skrzynki

AcyMailing Enterprise pozwala monitorować skrzynkę i wykonywać akcje na podstawie przychodzących wiadomości. Problem dotyczył ścieżki używanej przez POP3 bez rozszerzenia IMAP. Części wiadomości mogły zostać zapisane w media/com_acym/upload/ bez prawidłowej kontroli rozszerzenia.

Jeżeli serwer wykonuje PHP w tym katalogu, zapisany plik może prowadzić do uruchomienia kodu z prawami witryny. Warunkiem jest włączona odpowiednia funkcja, konfiguracja POP3 oraz możliwość wysłania wiadomości na monitorowany adres. Witryny korzystające z IMAP przechodziły inną ścieżką obsługi.

Pole File i usuwanie plików poza katalogiem uploadu

Druga poprawka dotyczy pól użytkownika typu File. W starszym kodzie zapisana wartość pola mogła wskazywać ścieżkę poza katalogiem przeznaczonym na pliki subskrybenta. Późniejsze wyczyszczenie pola uruchamiało usuwanie starego pliku bez wystarczającej kontroli docelowej lokalizacji.

Na stronie Joomla szczególnie wrażliwym plikiem jest configuration.php. Jego usunięcie zwykle wyłącza witrynę. Jeżeli na serwerze pozostawiono katalog installation, brak konfiguracji może również otworzyć niebezpieczną drogę do ponownego uruchomienia instalatora.

Kogo dotyczy największe ryzyko?

Obie funkcje są kojarzone przede wszystkim z edycją Enterprise. Kod odpowiedzialny za ich obsługę występuje jednak także w publicznym repozytorium Starter. Najbezpieczniej zaktualizować każdą instalację AcyMailing, a następnie sprawdzić, czy podatne funkcje były faktycznie dostępne i włączone.

Dwa publiczne rekordy CVE

CVE-2026-94132 dotyczy zapisu pliku przez funkcję akcji skrzynki w edycji Enterprise. Ocena CVSS 4.0 wynosi 9,5. CVE-2026-94131 opisuje usuwanie pliku wskazanego przez pole typu File i ma ocenę 8,3. Rekordy doprecyzowują zakres podatnych wydań: 6.0.0–11.0.5.

Na 1 października 2026 roku dodatkowym problemem był możliwy brak witryny aktualizacji AcyMailing w Joomla. W 11.1.1 producent zmienił obsługę aktualizatora i informuje, że odbudowa witryny aktualizacji jest już możliwa. Sam komunikat „brak aktualizacji” nadal nie zastępuje sprawdzenia numeru zainstalowanego komponentu.

Jak zaktualizować AcyMailing?

1. Wykonaj kopię plików, bazy i bieżącej konfiguracji wysyłki.
2. Sprawdź wersję AcyMailing oraz używaną edycję.
3. Pobierz wersję 11.1.1 lub nowszą z konta licencji AcyMailing. Instrukcję producenta znajdziesz na stronie Pobieranie AcyMailing.
4. Zainstaluj pakiet na dotychczasowej wersji albo użyj aktualizatora Joomla.
5. Potwierdź numer 11.1.1 lub nowszy w menedżerze rozszerzeń.
6. Przetestuj formularze subskrypcji, pola użytkowników, kolejkę, obsługę zwrotów i akcje skrzynki.

Powiadomienie Joomla o nowym wydaniu może nie pojawić się, gdy zniknęła witryna aktualizacji AcyMailing. Sprawdź ją w System → Witryny aktualizacji. Jeżeli brak wpisu AcyMailing, pobierz właściwy pakiet ręcznie i zainstaluj go na istniejącej wersji, zgodnie z instrukcją producenta. Po instalacji ponownie sprawdź witrynę aktualizacji oraz numer komponentu. Edycji płatnej nie zastępuj pakietem Starter.

Utrata wpisu może nastąpić po użyciu funkcji „Odbuduj” w widoku witryn aktualizacji. Publiczny manifest AcyMailing 11.1.0 nie zawiera deklaracji updateservers, z której Joomla mogłaby odtworzyć wpis. Dokumentacja Joomla opisuje odbudowę witryn aktualizacji z manifestów. Po takiej operacji ponownie sprawdź wpis AcyMailing. Dla płatnej edycji zainstaluj właściwy pakiet z konta producenta.

Co sprawdzić na stronie korzystającej ze starszej wersji?

• przejrzyj media/com_acym/upload/ pod kątem plików PHP, PHTML, PHAR, HTML i innych nieoczekiwanych typów,
• sprawdź, czy configuration.php istnieje i nie został zmieniony,
• usuń pozostawiony katalog installation, jeśli nadal znajduje się na serwerze,
• sprawdź publiczne formularze zawierające pole typu File,
• jeżeli to możliwe, przełącz obsługę skrzynki z POP3 na IMAP,
• zablokuj wykonywanie PHP w katalogach przeznaczonych wyłącznie na media i pliki użytkowników.

Znalezienie obcego pliku wykonywalnego oznacza, że nie wystarczy usunąć pojedynczego pliku. Trzeba sprawdzić pozostałe pliki, bazę, konta, zadania cykliczne, sesje i dane dostępowe.

Pomoc przy aktualizacji i kontroli AcyMailing

W ramach opieki serwisowej Joomla możemy wykonać kopię, aktualizację AcyMailing i test wysyłki, formularzy oraz integracji po zmianie.

Jeżeli w katalogu uploadu są podejrzane pliki lub witryna utraciła konfigurację, potrzebna jest analiza incydentu. Usuwanie wirusów i backdoorów z Joomla obejmuje kontrolę plików, bazy, kont, logów i danych dostępowych.

Źródła

• AcyMailing: oficjalny changelog wersji 11.1.1 i 11.1.0
• CVE-2026-102562: zapisany XSS w AcyMailing dla WordPress
• AcyMailing na GitHub: porównanie kodu 11.0.5 i 11.1.0
• AcyMailing: dokumentacja akcji skrzynki
• AcyMailing: dokumentacja pól niestandardowych
• AcyMailing: pobieranie i instalacja
• AcyMailing: aktualizacja w Joomla
• CVE-2026-94132: zapis pliku
• CVE-2026-94131: usuwanie pliku
• AcyMailing: manifest XML wersji 11.1.0
• Joomla: witryny aktualizacji i funkcja Odbuduj