AcyMailing 11.1.0 usuwa poważne luki w obsłudze plików. Aktualizacja 1.10.2026

AcyMailing 11.1.0 zawiera dwie istotne poprawki bezpieczeństwa związane z obsługą plików. Pierwsza dotyczy akcji skrzynki działających przez POP3, druga pól niestandardowych typu File. W podatnej konfiguracji możliwe było zapisanie niebezpiecznego pliku w katalogu strony albo usunięcie pliku znajdującego się poza przeznaczonym katalogiem uploadu.

Producent wydał wersję 11.1.0 24 września 2026 roku. Dwa dni później opublikowano rekordy CVE-2026-94132 (CVSS 9,5) i CVE-2026-94131 (CVSS 8,3). Obejmują wersje od 6.0.0 do 11.0.5. Instalacje starsze niż 11.1.0 należy sprawdzić i zaktualizować.

Joomla Guru może przeprowadzić aktualizację i test AcyMailing. Jeżeli w katalogu uploadu znajdują się obce pliki PHP lub konfiguracja witryny została uszkodzona, potrzebna jest pełna kontrola i usuwanie wirusów z Joomla.

Co producent poprawił w AcyMailing 11.1.0?

Oficjalny changelog zawiera dwa krótkie wpisy. Pierwszy mówi o zwiększeniu bezpieczeństwa niektórych pól niestandardowych. Drugi informuje o poprawieniu problemu bezpieczeństwa w bardzo szczególnym scenariuszu dotyczącym akcji skrzynki.

Porównanie publicznego kodu wersji AcyMailing 11.0.5 i 11.1.0 pokazuje, że zmiany obejmują kontrolę rozszerzeń zapisywanych plików, normalizację nazw oraz sprawdzanie, czy usuwany plik znajduje się we właściwym katalogu. Producent nie opublikował osobnego komunikatu bezpieczeństwa.

Niebezpieczny zapis pliku przez akcje skrzynki

AcyMailing Enterprise pozwala monitorować skrzynkę i wykonywać akcje na podstawie przychodzących wiadomości. Problem dotyczył ścieżki używanej przez POP3 bez rozszerzenia IMAP. Części wiadomości mogły zostać zapisane w media/com_acym/upload/ bez prawidłowej kontroli rozszerzenia.

Jeżeli serwer wykonuje PHP w tym katalogu, zapisany plik może prowadzić do uruchomienia kodu z prawami witryny. Warunkiem jest włączona odpowiednia funkcja, konfiguracja POP3 oraz możliwość wysłania wiadomości na monitorowany adres. Witryny korzystające z IMAP przechodziły inną ścieżką obsługi.

Pole File i usuwanie plików poza katalogiem uploadu

Druga poprawka dotyczy pól użytkownika typu File. W starszym kodzie zapisana wartość pola mogła wskazywać ścieżkę poza katalogiem przeznaczonym na pliki subskrybenta. Późniejsze wyczyszczenie pola uruchamiało usuwanie starego pliku bez wystarczającej kontroli docelowej lokalizacji.

Na stronie Joomla szczególnie wrażliwym plikiem jest configuration.php. Jego usunięcie zwykle wyłącza witrynę. Jeżeli na serwerze pozostawiono katalog installation, brak konfiguracji może również otworzyć niebezpieczną drogę do ponownego uruchomienia instalatora.

Kogo dotyczy największe ryzyko?

Obie funkcje są kojarzone przede wszystkim z edycją Enterprise. Kod odpowiedzialny za ich obsługę występuje jednak także w publicznym repozytorium Starter. Najbezpieczniej zaktualizować każdą instalację AcyMailing, a następnie sprawdzić, czy podatne funkcje były faktycznie dostępne i włączone.

Dwa publiczne rekordy CVE

CVE-2026-94132 dotyczy zapisu pliku przez funkcję akcji skrzynki w edycji Enterprise. Ocena CVSS 4.0 wynosi 9,5. CVE-2026-94131 opisuje usuwanie pliku wskazanego przez pole typu File i ma ocenę 8,3. Rekordy doprecyzowują zakres podatnych wydań: 6.0.0–11.0.5.

Na 1 października 2026 roku dodatkowym problemem jest możliwy brak witryny aktualizacji AcyMailing w Joomla. Sam komunikat „brak aktualizacji” nie dowodzi więc, że zainstalowano 11.1.0.

Jak zaktualizować AcyMailing?

1. Wykonaj kopię plików, bazy i bieżącej konfiguracji wysyłki.
2. Sprawdź wersję AcyMailing oraz używaną edycję.
3. Pobierz wersję 11.1.0 z konta licencji AcyMailing. Instrukcję producenta znajdziesz na stronie Pobieranie AcyMailing.
4. Zainstaluj pakiet na dotychczasowej wersji albo użyj aktualizatora Joomla.
5. Potwierdź numer 11.1.0 lub nowszy w menedżerze rozszerzeń.
6. Przetestuj formularze subskrypcji, pola użytkowników, kolejkę, obsługę zwrotów i akcje skrzynki.

Powiadomienie Joomla o nowym wydaniu może nie pojawić się, gdy zniknęła witryna aktualizacji AcyMailing. Sprawdź ją w System → Witryny aktualizacji. Jeżeli brak wpisu AcyMailing, pobierz właściwy pakiet ręcznie i zainstaluj go na istniejącej wersji, zgodnie z instrukcją producenta. Po instalacji ponownie sprawdź witrynę aktualizacji oraz numer komponentu. Edycji płatnej nie zastępuj pakietem Starter.

Utrata wpisu może nastąpić po użyciu funkcji „Odbuduj” w widoku witryn aktualizacji. Publiczny manifest AcyMailing 11.1.0 nie zawiera deklaracji updateservers, z której Joomla mogłaby odtworzyć wpis. Dokumentacja Joomla opisuje odbudowę witryn aktualizacji z manifestów. Po takiej operacji ponownie sprawdź wpis AcyMailing. Dla płatnej edycji zainstaluj właściwy pakiet z konta producenta.

Co sprawdzić na stronie korzystającej ze starszej wersji?

• przejrzyj media/com_acym/upload/ pod kątem plików PHP, PHTML, PHAR, HTML i innych nieoczekiwanych typów,
• sprawdź, czy configuration.php istnieje i nie został zmieniony,
• usuń pozostawiony katalog installation, jeśli nadal znajduje się na serwerze,
• sprawdź publiczne formularze zawierające pole typu File,
• jeżeli to możliwe, przełącz obsługę skrzynki z POP3 na IMAP,
• zablokuj wykonywanie PHP w katalogach przeznaczonych wyłącznie na media i pliki użytkowników.

Znalezienie obcego pliku wykonywalnego oznacza, że nie wystarczy usunąć pojedynczego pliku. Trzeba sprawdzić pozostałe pliki, bazę, konta, zadania cykliczne, sesje i dane dostępowe.

Pomoc przy aktualizacji i kontroli AcyMailing

W ramach opieki serwisowej Joomla możemy wykonać kopię, aktualizację AcyMailing i test wysyłki, formularzy oraz integracji po zmianie.

Jeżeli w katalogu uploadu są podejrzane pliki lub witryna utraciła konfigurację, potrzebna jest analiza incydentu. Usuwanie wirusów i backdoorów z Joomla obejmuje kontrolę plików, bazy, kont, logów i danych dostępowych.

Źródła

• AcyMailing: oficjalny changelog wersji 11.1.0
• AcyMailing na GitHub: porównanie kodu 11.0.5 i 11.1.0
• AcyMailing: dokumentacja akcji skrzynki
• AcyMailing: dokumentacja pól niestandardowych
• AcyMailing: pobieranie i instalacja
• AcyMailing: aktualizacja w Joomla
• CVE-2026-94132: zapis pliku
• CVE-2026-94131: usuwanie pliku
• AcyMailing: manifest XML wersji 11.1.0
• Joomla: witryny aktualizacji i funkcja Odbuduj