Październik 2026 przyniósł Joomla 6.2, ostatnie regularne poprawki błędów dla Joomla 5 oraz serię aktualizacji bezpieczeństwa rozszerzeń. Najpilniejsze ostrzeżenia dotyczyły YOOtheme Pro 5, PHP i Gridbox. Problemy pojawiły się też w galeriach, formularzach, kalendarzach i narzędziach do budowania stron. Zebraliśmy nasze artykuły oraz oficjalne wydania, żeby ułatwić sprawdzenie, co zostało jeszcze do zrobienia na Twojej stronie.
Spis treści
- 13 października: Joomla 6.2 i Joomla 5.4.10
- YOOtheme Pro 5 i PHP: dwie niezależne warstwy do sprawdzenia
- Gridbox i Quix: jedna aktualizacja w miesiącu mogła nie wystarczyć
- Galerie, wydarzenia i formularze: poprawki nie kończyły się na builderach
- Narzędzia techniczne też wymagają uwagi
- 31 października: Regular Labs wymaga aktualizacji dwóch dodatków razem
- Na początku miesiąca wracaliśmy także do wcześniejszych luk
- Co sprawdzić po tym miesiącu?
- Źródła:
- Pomocne linki przy migracji:
To przegląd wydarzeń z października i tematów, które wtedy opisywaliśmy. Nie każda omawiana poprawka została wydana w tym samym miesiącu: część tekstów z początku października dotyczyła wydań z końca września. Numery poniżej wskazują wydania związane z opisanymi zmianami, a nie gwarancję, że pozostaną najnowsze w chwili czytania.
13 października: Joomla 6.2 i Joomla 5.4.10
Joomla 6.2.0, wydana 13 października, przyniosła usprawnienia TinyMCE, wybierania multimediów i linków, konfiguracji modułów oraz uwierzytelniania poczty przez XOAuth2. Dla administratorów śledzących bezpieczeństwo istotne jest oznaczanie aktualizacji rozszerzeń jako wydań bezpieczeństwa. Producent dodatku musi jednak przekazać odpowiednie informacje; brak ostrzeżenia nie zastępuje kontroli wersji.
Opisaliśmy to w artykule Joomla 6.2 już dostępna. Nowości w edytorze, poczcie i obsłudze strony. Dostępne są również oficjalny komunikat Joomla 6.2 oraz pakiety wydania 6.2.0.
Tego samego dnia ukazała się Joomla 5.4.10. To ostatnie regularne wydanie z poprawkami błędów dla Joomla 5. Od tego momentu gałąź otrzymuje wyłącznie poprawki bezpieczeństwa, a ich wsparcie jest zaplanowane do 12 października 2027 r. Nie oznacza to, że każda strona na Joomla 5 nagle przestała być bezpieczna. Oznacza natomiast, że trzeba przygotować przejście na Joomla 6, sprawdzając wcześniej szablon, dodatki i integracje.
Przeczytaj nasz opis Joomla 5.4.10 i plan aktualizacji związany z końcem wsparcia Joomla 5. Źródła projektu to komunikat o wydaniu 5.4.10, pakiety 5.4.10 i harmonogram wsparcia. Do istniejącej strony dobieraj pakiet aktualizacyjny i właściwą ścieżkę przejścia, nie instalator nowej witryny.
YOOtheme Pro 5 i PHP: dwie niezależne warstwy do sprawdzenia
21 października pojawiły się poprawki, których nie należało odkładać. YOOtheme Pro 5.0.53 zamknęło możliwość wykonania kodu bez logowania w obsłudze przekształcania obrazów. Rekord CVE-2026-102785 obejmuje wersje 5.0.0–5.0.52 i podaje ocenę CVSS 4.0 równą 10,0. Tego konkretnego zakresu nie należy automatycznie rozszerzać na YOOtheme Pro 4.
Równolegle PHP wydało poprawki dwóch innych luk. W październikowej serii były to PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12, odpowiednio do używanej gałęzi. Aktualizacja YOOtheme nie aktualizuje PHP na hostingu. Te czynności trzeba sprawdzić oddzielnie.
Oba tematy opisuje nasz artykuł o YOOtheme Pro 5 i PHP. Pod koniec miesiąca doszły kolejne informacje: 23 października PHP opublikowało zalecenie dotyczące session.upload_progress.enabled przy określonej konfiguracji sesji, a 26 października zaktualizowano pakiety Windows o poprawkę biblioteki Brotli. Tego ostatniego problemu nie należy przypisywać automatycznie każdemu serwerowi Linux.
CVE-2026-109618 i CVE-2026-109619 znalazły się 26 października w katalogu CISA KEV, potwierdzającym wykorzystywanie luk w atakach. Szczegóły konfiguracji i pakietów publikuje PHP w swoim archiwum komunikatów. Właściciel strony powinien uzyskać od hostingu potwierdzenie wdrożenia właściwych poprawek.
Gridbox i Quix: jedna aktualizacja w miesiącu mogła nie wystarczyć
Gridbox otrzymał dwie opisywane przez nas serie poprawek. Wersja 2.20.4.0 z 8 października dotyczyła instalowania języków i podglądu obrazów. Późniejsza 2.20.4.2, wydana 27 października, zamknęła kolejne problemy: SQL injection w sortowaniu produktów oraz brak sprawdzania uprawnień w zadaniu kontrolera edytora. Dwa październikowe rekordy CVE tej późniejszej serii mają po 9,3 w CVSS 4.0.
Jeżeli aktualizacja skończyła się na 2.20.4.0, trzeba było wrócić do tematu. Zobacz opis pierwszej październikowej poprawki Gridbox oraz artykuł o Gridbox 2.20.4.2. Publiczne opisy to CVE-2026-102788 i CVE-2026-102789.
W Quix istotna była ochrona treści przeznaczonych dla ograniczonej grupy odbiorców. Quix 6.4.0 z 27 października poprawiło respektowanie praw dostępu do artykułów Joomla. To praktyczny przykład, dlaczego po aktualizacji trzeba sprawdzić stronę również jako gość, a nie wyłącznie jako zalogowany administrator. Przeczytaj opis Quix 6.4.0. Na początku miesiąca omawialiśmy też poprawki Quix 6.3.4 wydanego jeszcze 30 września.
Galerie, wydarzenia i formularze: poprawki nie kończyły się na builderach
Poniższe materiały pomagają sprawdzić dodatki, które łatwo pominąć przy aktualizacji samego CMS. Przy każdej pozycji znajdziesz nasz szczegółowy opis, źródła i informacje o pakietach.
| Rozszerzenie | Wydanie omawiane w październiku | Temat i nasz artykuł |
|---|---|---|
| Phoca Cart | 6.1.9 | Dostęp do cudzych plików zamówień. Ważne dla sklepów z produktami cyfrowymi. |
| Event Gallery | 6.6.0 | Trzy luki dotyczące galerii, ustawień i integracji Google Photos. |
| Phoca Gallery | 6.1.6 | Zapisany XSS związany z metadanymi zdjęć. Sam obraz może przenosić niebezpieczne dane. |
| Phoca Download | 6.1.6 | Ochrona przed podrobionymi żądaniami usuwania i zmiany publikacji plików. |
| iCagenda | 4.0.17 | XSS w polu URL i niebezpieczne formuły w eksporcie CSV. Osobno opisaliśmy sytuację użytkowników Joomla 3. |
| DJ-HelpfulArticles | 1.3 | Zapisany XSS z głosowania pod artykułem, uruchamiany w panelu administratora. |
| Opening Hours (Joomill) | 6.3.0 | XSS w ustawieniach Custom CSS modułu. Nie należy mylić go z atakiem dostępnym każdemu anonimowemu gościowi. |
| TF Content | Podatne 2.9.0–2.9.4 | Nieuprawnione zmiany rekordów i wywoływanie zadań. |
Osobno opisaliśmy aktualizacje Vik Booking, Vik Rent Car i Vik Rent Items. Przy produktach dostępnych na kilku platformach trzeba pilnować numeracji: wydanie WordPress nie jest automatycznie poprawką do zainstalowania na Joomla.
Narzędzia techniczne też wymagają uwagi
JCH Optimize otrzymało kolejne poprawki bezpieczeństwa opisane przez nas przy wersji 9.4.2. W październiku seria poszła dalej: oficjalna lista wydań wskazuje również 9.4.3 z 19 października. Nie zatrzymuj aktualizacji na numerze zapisanym we wcześniejszym nagłówku artykułu; porównaj go z bieżącą listą wydań producenta.
W StageIt 5.8.0 i 6.4.0 chodziło o bezpieczeństwo narzędzia pracującego na kopiach strony i operacjach wdrożeniowych. Kopia testowa również może zawierać dane klientów, konta i konfigurację usług.
Helix Ultimate 2.2.11 z 29 października przypomniał z kolei o sprawdzaniu frameworka i plików szablonu. Zaktualizowany plugin nie dowodzi, że zaktualizowano również używany szablon. W przypadku szablonu zmodyfikowanego lub pochodzącego od innego producenta nie należy zastępować go bez sprawdzenia pakietem bazowym.
31 października: Regular Labs wymaga aktualizacji dwóch dodatków razem
Ostatniego dnia miesiąca Regular Labs wydało Articles Anywhere 20.1.1 oraz Sourcerer 17.0.1. Poprawka dotyczy PHP w artykułach dołączanych przez Articles Anywhere: kod ma podlegać zaufaniu do dołączanego artykułu. Producent w obu changelogach wymaga aktualnego drugiego rozszerzenia. Jeśli masz oba dodatki, aktualizacja tylko jednego nie wystarcza.
W tej samej serii Users Anywhere 3.0.1 zablokowało nadpisywanie przez tagi ustawień ukrywających nazwy użytkowników i adresy e-mail. Szczegóły potwierdzają changelog Articles Anywhere, changelog Sourcerer i changelog Users Anywhere. Na dzień sprawdzania podsumowania, 2 listopada, publiczne API CVE nie udostępniało jeszcze rekordów wskazanych dla tych dwóch problemów. Nie przypisujemy im niepotwierdzonych oficjalnych ocen.
Na początku miesiąca wracaliśmy także do wcześniejszych luk
Październikowa publikacja tekstu nie zawsze oznacza październikową premierę poprawki. Dotyczy to m.in. opisywanych na początku miesiąca Balbooa Forms 2.4.3.4, OrdaSoft OS CCK i JCTables. Brak świeżej daty wydania nie zmniejsza ryzyka na stronie, na której nadal działa stary pakiet.
Sprawdzaliśmy również OrdaSoft Simple Membership i Touch Slider. W Simple Membership zwróciliśmy uwagę na niespójność zakresu wersji w CVE, zamiast przedstawiać sam numer pakietu jako dowód naprawy. Dla nadal utrzymywanych stron na Joomla 3 opisaliśmy odrębny pakiet bezpieczeństwa SP Page Builder 1.0.3. Taka poprawka dodatku nie przywraca wsparcia bezpieczeństwa rdzenia Joomla 3.
Co sprawdzić po tym miesiącu?
- Porównaj wersje CMS, PHP, szablonu i dodatków z komunikatami ich producentów. Nie opieraj całej kontroli na braku powiadomień w panelu.
- Przed zmianami wykonaj pełną kopię i sprawdź możliwość jej przywrócenia. Większe aktualizacje przetestuj na zabezpieczonej kopii witryny.
- Po wdrożeniu przetestuj formularze, logowanie, uprawnienia gościa i redaktora, sklep lub rezerwacje oraz wysyłanie poczty. Sprawdź także końcowe numery pakietów.
- Jeśli widzisz nieznane konta, pliki lub zmiany treści, potraktuj to jako możliwy incydent. Instalacja poprawki nie usuwa automatycznie wcześniej pozostawionego dostępu.
Przy planowaniu prac pomocne są nasze poradniki: jak odebrać migrację Joomla, od czego zależy bezpieczeństwo Joomla oraz dlaczego infekcja potrafi wrócić po czyszczeniu.
Jeśli potrzebujesz pomocy, oferujemy opiekę serwisową Joomla, obejmującą aktualizacje i kontrolę działania strony. Przy podejrzeniu włamania pomagamy w analizie i usuwaniu złośliwego kodu.
Źródła:
- Oficjalne wydanie Joomla 6.2 i Joomla 5.4.10.
- Harmonogram wsparcia Joomla.
- Komunikaty PHP z października 2026 i CISA KEV.
- Wydanie Helix Ultimate 2.2.11 i Quix 6.4.0.
- Komunikaty producentów i publiczne rekordy CVE wskazane w poszczególnych sekcjach oraz w podlinkowanych artykułach szczegółowych.
Pomocne linki przy migracji:
Terminy wsparcia i plan przejścia z Joomla 5
Lista testów przy odbiorze migracji
Dołącz do nas: Facebook Joomla Guru, grupa Joomla i YouTube Joomla GURU.
FAQ
