Gridbox dla Joomla otrzymał pilną aktualizację 2.20.2 usuwającą 23 podatności, w tym błędy pozwalające przejąć uprawnienia administratora i wykonać kod na serwerze. Część luk nie wymaga logowania, a co najmniej kilka scenariuszy było aktywnie wykorzystywanych podczas przygotowywania poprawki.

Podatne są wszystkie wersje Gridbox od 1.0.0 do 2.20.1 włącznie. Administrator powinien natychmiast zainstalować 2.20.2, a następnie sprawdzić konta użytkowników, pliki, bazę danych i logi. Sama aktualizacja nie usuwa kont administratorów, webshelli ani innych zmian pozostawionych przed wdrożeniem poprawki.

Joomla Guru realizuje aktualizacje i opiekę techniczną Joomla wraz z kopią zapasową i testami po wdrożeniu. Jeżeli strona działała na podatnym Gridbox i ma nieznane konta, pliki PHP lub inne ślady kompromitacji, potrzebne jest usuwanie wirusów z Joomla obejmujące pliki, bazę i dane dostępowe.

Joomla udostępnia mechanizm uwierzytelniania wieloskładnikowego (MFA), z którego korzysta się również przy konfiguracji logowania dwuskładnikowego. Użytkownik po podstawowym logowaniu potwierdza dostęp dodatkową skonfigurowaną metodą.

Dostępne metody zależą od wersji systemu i włączonych dodatków. Mogą obejmować jednorazowe kody lub obsługiwane urządzenia uwierzytelniające. Starsze poradniki o dodatkach Two Factor Authentication mogą odnosić się do innego mechanizmu niż obecny MFA.

Konfigurację należy sprawdzić zarówno w ustawieniach użytkownika, jak i dodatkach uwierzytelniania wieloskładnikowego. Przy wdrażaniu dla zespołu najpierw przetestuj konto, metodę awaryjną i odzyskiwanie dostępu.

Włączenie MFA nie nadaje nowych uprawnień. Tożsamość i prawa do edycji są odrębnymi sprawami: za te drugie odpowiada ACL. Po zmianach sprawdź logowanie do zaplecza oraz tej części publicznej witryny, która wymaga konta.

Zobacz także: definicja 2FA.

Źródło: dokumentacja Joomla. Sprawdzono: 12 września 2026 r.

AcyMailing 11.1.0 zawiera dwie istotne poprawki bezpieczeństwa związane z obsługą plików. Pierwsza dotyczy akcji skrzynki działających przez POP3, druga pól niestandardowych typu File. W podatnej konfiguracji możliwe było zapisanie niebezpiecznego pliku w katalogu strony albo usunięcie pliku znajdującego się poza przeznaczonym katalogiem uploadu.

Producent wydał wersję 11.1.0 24 września 2026 roku. Dwa dni później opublikowano rekordy CVE-2026-94132 (CVSS 9,5) i CVE-2026-94131 (CVSS 8,3). Obejmują wersje od 6.0.0 do 11.0.5. Instalacje starsze niż 11.1.0 należy sprawdzić i zaktualizować.

Joomla Guru może przeprowadzić aktualizację i test AcyMailing. Jeżeli w katalogu uploadu znajdują się obce pliki PHP lub konfiguracja witryny została uszkodzona, potrzebna jest pełna kontrola i usuwanie wirusów z Joomla.

Publiczny formularz Convert Forms można było wysłać bez rozwiązania CAPTCHA, zaznaczenia wymaganej zgody i uzupełnienia obowiązkowych pól. Podatność CVE-2026-77026 nie prowadzi do wykonania kodu ani ujawnienia zapisanych zgłoszeń, ale pozwala automatyzować wysyłkę formularzy i uruchamiać przypisane do nich zadania.

Poprawka jest dostępna w Convert Forms 5.2.5 dla Joomla 4, 5 i 6 oraz w Convert Forms 4.4.17 dla Joomla 3. Nie czekaj wyłącznie na powiadomienie w panelu. Joomla może wykryć nowe wydanie z opóźnieniem, dlatego wersję warto sprawdzić ręcznie.

Joomla Guru może wykonać kopię, aktualizację Convert Forms i test formularzy. Jeśli formularze generowały nietypowy ruch, spam lub podejrzane zadania, możemy również przeanalizować stronę i przeprowadzić usuwanie skutków włamania.

Specjalny tryb, aby ułatwić wdrażanie, CSP można wdrożyć w trybie tylko dla raportowania. Wszelkie naruszenia są zgłaszane pod podany identyfikator URI. Ponadto nagłówek zawierający tylko raport może służyć do testowania przyszłej zmiany zasad bez jej rzeczywistego wdrażania.

To dodatkowa warstwa zabezpieczeń, która pomaga wykrywać i łagodzić niektóre typy ataków, w tym Cross Site Scripting (XSS) i ataki polegające na wstrzykiwaniu danych. Ataki te są wykorzystywane do wszystkiego, od kradzieży danych, po dystrybucję złośliwego oprogramowania. CSP pozwala zdefiniować politykę przychodzących połączeń zewnętrznych do strony www. 

Aktualizacja z 8 września 2026 roku: YOOtheme Pro otrzymał poprawki czterech podatności, a nie dwóch, jak informowaliśmy wcześniej. Oprócz SQL Injection i odczytu plików producent usunął błąd kodowania pola lokalizacji oraz brak kontroli uprawnień w kontrolerze modułów.

Na Joomla 5 i Joomla 6 bezpieczne minimum to YOOtheme Pro 5.0.42. Obecnie dostępna jest wersja 5.0.43 i to ją zalecamy. Dla starszej gałęzi używanej na Joomla 3 producent przygotował poprawki 4.5.34 i 4.5.35. Docelową wersją tej linii jest 4.5.35.

Pobierz aktualny YOOtheme Pro → Pakiet jest dostępny po zalogowaniu do konta i zgodnie z licencją. Aktualizator Joomla wymaga prawidłowego klucza API. Powiadomienie o nowej wersji może pojawić się z opóźnieniem, dlatego numer wydania trzeba sprawdzić ręcznie.

Joomla Guru może wykonać kopię, aktualizację YOOtheme Pro i test szablonu. Jeżeli istnieje podejrzenie odczytu plików albo użycia SQL Injection, sprawdzamy użytkowników, logi, bazę oraz pliki. Potwierdzony incydent może wymagać oczyszczenia strony Joomla i zmiany ujawnionych danych dostępowych.

Wirus wraca po wyczyszczeniu Joomla najczęściej dlatego, że usunięto widoczny objaw, ale pozostał backdoor, podatne rozszerzenie, przejęte konto albo inna zainfekowana strona na tym samym hostingu. Powracający plik nie jest sam w sobie źródłem problemu. Trzeba ustalić, jaki proces go odtwarza i w jaki sposób napastnik nadal ma dostęp.

Poniższe przyczyny są hipotezami diagnostycznymi, a nie rozpoznaniem konkretnej strony. Ich potwierdzenie wymaga analizy plików, bazy, kont, zadań i logów.

DPCalendar 10.12.0 usuwa dwie poważne podatności: blind SQL Injection uruchamiane podczas zapisu artykułu oraz stored XSS w nazwie lokalizacji. Atak nie jest dostępny dla anonimowego gościa, ale może zostać przeprowadzony przez konto mające określone uprawnienia redakcyjne.

Dla aktualnej linii DPCalendar poprawką jest wersja 10.12.0. Użytkownicy starej gałęzi dla Joomla 3 powinni zainstalować 8.19.5. Wersja 9.x nie otrzymała osobnego pakietu naprawczego i wymaga etapowego przejścia do linii 10.

Joomla Guru może przeprowadzić kopię, aktualizację DPCalendar i test kalendarza. Jeżeli nie masz pewności, co robiły konta redaktorów, możemy również sprawdzić bazę, pliki i logi oraz wykonać usuwanie skutków włamania.

Aktualizacja: Fabrik 4.6.8 nie jest już bezpiecznym punktem docelowym. Po publikacji pierwszego ostrzeżenia ujawniono drugi krytyczny błąd, a zakres CVE-2026-66915 rozszerzono do wersji 4.6.8 włącznie. Obie luki umożliwiają niezalogowanemu napastnikowi zdalne wykonanie kodu na serwerze i otrzymały ocenę 10,0 w CVSS 4.0.

Aktualnym zaleceniem jest instalacja Fabrik 4.7.1 lub nowszego. Producent wydał 4.7.0 oraz 4.7.1 jako kolejne wydania wzmacniające zabezpieczenia. Nie należy czekać wyłącznie na powiadomienie w Joomla — informacja o nowej wersji może pojawić się z opóźnieniem z powodu pamięci podręcznej serwera aktualizacji.

Jeżeli strona działała na podatnej wersji, sama aktualizacja nie wystarcza do wykluczenia włamania. Joomla Guru może wykonać aktualizację i kontrolę strony, a w razie wykrycia nieznanych plików lub kont także usunąć skutki infekcji.

W menedżerze mediów JMedia dla Joomla ujawniono dwie krytyczne podatności o ocenach 9,4 w CVSS 4.0. CVE-2026-60032 może prowadzić do przesłania pliku i zdalnego wykonania kodu, a CVE-2026-60034 umożliwia zapisany XSS przez złośliwy plik SVG.

Podatne są wersje od 1.0 do 1.5.4. Należy zainstalować JMedia 1.6.0 lub nowszy. Rozszerzenie jest komercyjne, więc aktualny pakiet pobiera się po zalogowaniu do panelu ThemeXpert.

Joomla Guru może wykonać aktualizację JMedia, kontrolę uprawnień i test biblioteki mediów. Jeśli na serwerze znajdują się podejrzane pliki albo nieznane konta, możemy przeprowadzić analizę oraz usunąć infekcję ze strony Joomla.

Regular Labs opublikował kolejne dwie aktualizacje bezpieczeństwa. Modules Anywhere 10.0.0 ogranicza zmianę parametrów osadzanych modułów, a Tabs & Accordions 3.2.0 blokuje adresy JavaScript umieszczane w treści. Oba wydania ukazały się 27 września 2026 roku.

Problemy nie są dostępne dla zupełnie anonimowego gościa. Wymagają możliwości tworzenia lub edytowania treści, dlatego szczególnie narażone są serwisy z wieloma autorami, redakcjami klientów albo kontami utworzonymi dla zewnętrznych wykonawców.

Jeżeli potrzebujesz pomocy, Joomla Guru może wykonać kopię, aktualizację rozszerzeń Regular Labs i test treści. Przy podejrzeniu przejęcia konta autora lub uruchomienia obcego skryptu możemy sprawdzić użytkowników, artykuły i pliki w ramach usuwania skutków włamania.

W lipcu 2026 roku pojawiły się dwie ważne aktualizacje bezpieczeństwa dla popularnych rozszerzeń Joomla: Events Booking 5.8.0 oraz Phoca Download 6.1.3. Oba przypadki dotyczą miejsc, w których rozszerzenia przyjmują dane od użytkowników. W Events Booking chodzi między innymi o upload plików podczas rejestracji na wydarzenie i wyciek danych użytkownika. W Phoca Download problem dotyczył uploadu plików przez zalogowanych użytkowników i mógł prowadzić do wykonania kodu na serwerze.

Jeżeli administrujesz stroną Joomla z rejestracjami, strefą użytkownika, plikami do pobrania albo formularzami, sprawdź wersje tych rozszerzeń. Aktualizacja powinna być wykonana po kopii zapasowej, z krótkim testem działania formularzy, rejestracji, pobierania plików i uprawnień użytkowników.

Joomla Guru może pomóc w opiece technicznej Joomla, aktualizacji rozszerzeń, kontroli wersji i regularnym monitorowaniu strony. Jeśli widzisz podejrzane pliki, nowych administratorów albo nietypowy ruch, właściwą ścieżką jest czyszczenie zainfekowanej strony Joomla.

Event Gallery 6.6.0 usuwa trzy podatności, które nadal występują w wersji 6.5.0. Dwie dotyczą panelu administracyjnego: wymuszenia zmian w ustawieniach galerii i sklepu oraz wysłania tokenu Google Photos na adres wskazany przez napastnika. Trzecia pozwalała wykorzystać specjalnie przygotowany link do obrazu do uruchomienia skryptu w przeglądarce odwiedzającego lub przekierowania go na inną stronę.

Producent wydał poprawkę 4 października 2026 r. i oznaczył ją jako aktualizację bezpieczeństwa o średniej wadze. Zainstaluj 6.6.0 także wtedy, gdy niedawno przeszedłeś na 6.5.0. Nowa wersja wymaga Joomla 5.4 lub Joomla 6 oraz PHP 8.2.

Joomla Guru może wykonać kopię, aktualizację Event Gallery i test galerii oraz sklepu. Jeżeli podejrzewasz zmianę ustawień lub używałeś integracji Google Photos na podatnej wersji, warto sprawdzić konfigurację i logi. Przy potwierdzonych śladach naruszenia pomagamy również w analizie i usuwaniu skutków włamania.

Trzy poprawki w Event Gallery 6.6.0

Dwa pierwsze wyniki pochodzą z opublikowanych już rekordów CVE. Przy CVE-2026-102777 producent podaje ocenę 5,1, a obecny rekord CVE 6,3. To różne oceny tej samej luki, dlatego w tabeli używamy wyniku z rekordu CVE. Trzecia poprawka, oznaczona przez producenta jako EGSA-2026-08, otrzymała 5 października numer CVE-2026-102778. Aktualizacja informacji: 7 października 2026 r.

Co mogło się stać w panelu?

Osiem przycisków na listach administracyjnych nie sprawdzało tokenu formularza Joomla. Administrator zalogowany w panelu mógł otworzyć obcą stronę, która w tle wywołałaby te działania w jego sesji. Dotyczyło to m.in. domyślnych metod płatności i wysyłki, znaków wodnych oraz tego, czy wydarzenie jest w sklepie. Producent zaznacza, że tą drogą nie można było odczytać ani usunąć danych i nie zmieniało to zamówień.

Druga luka dotyczy wyłącznie witryn, które połączyły Event Gallery z kontem Google Photos. Wybór zdjęć pobiera miniatury przez serwer i używa tokenu dostępu do konta. W podatnej wersji adres docelowy nie był dostatecznie ograniczony, a żądanie nie wymagało tokenu formularza. Według producenta funkcja występuje od wersji 5.4.0. Po aktualizacji serwer pobiera miniatury tylko z dozwolonych hostów Google, a żądanie wymaga tokenu formularza.

W przypadku EGSA-2026-08 potrzebna jest włączona opcja Share article links, domyślnie wyłączona. Do czasu aktualizacji możesz ją wyłączyć w ustawieniach Event Gallery na karcie Social. Poprawka ogranicza adres odsyłający do własnej witryny i bezpiecznie go wyświetla.

Pobieranie i kontrola po aktualizacji

• Pobierz Event Gallery Core 6.6.0 → (bezpośredni plik ZIP producenta).
• Zobacz wydanie Core 6.6.0 i sumę SHA-512 →
• Pobierz Event Gallery Extended → (wymaga aktywnej subskrypcji i zalogowania).

Wykonaj kopię zapasową i nie odinstalowuj starego pakietu przed instalacją nowego. Producent ostrzega, że odinstalowanie może usunąć dane galerii. Po wdrożeniu sprawdź numer wersji, wyświetlanie i udostępnianie zdjęć, integrację Google Photos oraz proces zakupowy. Powiadomienie o aktualizacji może pojawić się z opóźnieniem; porównaj numer wersji także ze stroną producenta.

Przeczytaj wskazówki migracyjne dla 6.6.0. Jeśli nadpisujesz administracyjny szablon tmpl/files/default.php, dwa przyciski listy obrazów wymagają zmian z nowej wersji. Przy własnym szablonie ostatniego kroku zakupu checkout/review.php trzeba dodać nowe ukryte pole z kwotą widzianą przez klienta. Producent usunął też z integracji Stripe obsługę SEPA Direct Debit, Sofort i Giropay.

Jeżeli nie możesz jeszcze zaktualizować

Sprawdź uprawnienia osób zarządzających Event Gallery i ogranicz je do potrzebnych kont. Wyłącz Share article links, jeśli funkcja nie jest konieczna. Gdy nie używasz Google Photos, odłącz konto od integracji. To środki tymczasowe, nie zamiennik wydania 6.6.0. Starsze instalacje Joomla i PHP trzeba najpierw przygotować do migracji.

Po podejrzeniu wykorzystania luki Google Photos sprawdź konto i historię dostępu; rozważ ponowne połączenie go z Event Gallery po aktualizacji, aby użyć nowego tokenu. To ostrożnościowe zalecenie redakcyjne, a nie czynność wymagana w komunikacie producenta.

Źródła

• Event Gallery Core 6.6.0: informacje o wydaniu i pobieranie
• CVE-2026-102776
• CVE-2026-102777
• CVE-2026-102778

Expect-CT to przestarzały nagłówek HTTP związany z Certificate Transparency, czyli publicznym rejestrowaniem wydanych certyfikatów TLS. Służył do zgłaszania lub wymuszania oczekiwań dotyczących zgodności certyfikatu z tą polityką.

Nowoczesne przeglądarki realizują wymagania Certificate Transparency we własnych mechanizmach. Chrome wycofał obsługę Expect-CT, dlatego nagłówek nie jest elementem zalecanej nowej konfiguracji strony.

Co oznacza to dla Joomla?

Starszy skaner może nadal pokazywać brak Expect-CT. Nie należy na tej podstawie uznawać witryny za niezabezpieczoną ani dodawać historycznej konfiguracji tylko po to, aby uzyskać zielony wynik.

Sprawdź przede wszystkim poprawność i odnowienie certyfikatu, dostępność HTTPS oraz brak mieszanej zawartości. Osobną funkcję pełni HSTS, który informuje przeglądarkę o obowiązku używania HTTPS. Nie zastępuje on ważnego certyfikatu.

Zobacz także: HSTS.

Źródło: dokumentacja MDN. Sprawdzono: 12 września 2026 r.

Fabrik 4.7.2 dla Joomla usuwa kolejną serię poważnych podatności dostępnych bez logowania. Wśród nich są dwa błędy zdalnego wykonania kodu, dwa SQL Injection, Path Traversal, przesyłanie plików do katalogu strony i brak kontroli dostępu przy pobieraniu danych. Cztery luki otrzymały maksymalną ocenę 10,0 w CVSS 4.0.

Producent opublikował wydanie 22 sierpnia 2026 roku, ale Fabrik 4.7.2 był później ponownie pakowany pod tym samym numerem wersji. Sam napis „4.7.2” w Joomla nie potwierdza więc, że zainstalowano ostatni pakiet. Administrator powinien pobrać aktualny plik ponownie z konta Fabrik i zainstalować go ręcznie.

To ciąg dalszy problemów opisanych w artykule Dwie krytyczne luki RCE w Fabrik. Aktualizacja do wersji 4.7.1. Tamten wpis wyjaśnia wcześniejsze CVE-2026-66915 i CVE-2026-67282. Wydanie 4.7.2 zawiera ich poprawki, zamyka regresję pierwszej luki i usuwa wiele nowych błędów.

Joomla Guru może wykonać kopię, ręczną instalację najnowszego pakietu Fabrik i test formularzy. Jeśli strona była dostępna na podatnej wersji, możemy także sprawdzić pliki, konta i bazę danych oraz przeprowadzić usuwanie skutków włamania.

GDPR (General Data Protection Regulation) to angielski skrót ogólnego rozporządzenia o ochronie danych, znanego w Polsce jako RODO. Reguluje przetwarzanie danych osobowych, a nie wyłącznie obsługę plików cookies.

Zasady obejmują m.in. zgodność z prawem, przejrzystość, ograniczenie celu, minimalizację danych i odpowiednie zabezpieczenie. Zgoda jest jedną z możliwych podstaw przetwarzania, a nie obowiązkową podstawą każdej operacji.

Na stronie Joomla dane mogą trafiać do kont użytkowników, formularzy, sklepu i zewnętrznych usług. Ocena wymaga ustalenia, co jest zbierane, w jakim celu, jak długo i komu przekazywane.

Samo użycie Joomla lub dodatku prywatności nie potwierdza zgodności całego sposobu przetwarzania. Znaczenie mają również obowiązki informacyjne, organizacja dostępu i rzeczywista obsługa praw osób.

Zobacz także: narzędzia prywatności w Joomla.

Źródło: dokumentacja RODO w EUR-Lex. Sprawdzono: 12 września 2026 r.

Gridbox 2.20.4.0 z 8 października 2026 r. usuwa dwa kolejne problemy bezpieczeństwa. Jeden dotyczy kontroli tokenu przy instalowaniu języka w panelu, drugi sprawdzania ścieżki pliku podczas podglądu obrazu. Wcześniejsza wersja 2.20.3.1 nie zawiera tych poprawek. Jeżeli niedawno aktualizowałeś Gridbox po luce SQL injection w filtrze autora, sprawdź go ponownie.

Aktualizacja 12 października 2026 r.: obie luki mają już publiczne rekordy CVE, opublikowane 8 października. CVE-2026-102784 dotyczy instalacji języka i ma ocenę CVSS 4.0 8,7 (wysoka). CVE-2026-102783 opisuje podgląd obrazów i ma ocenę 6,3 (średnia). Rekordy wymieniają jako podatne wydania od 1.0.0 do 2.20.3.1. Wersja 2.20.4.0 zawiera poprawki.

Joomla Guru może wykonać kopię, aktualizację Gridbox i test strony. Jeśli widzisz nieznane rozszerzenia lub konta administratorów, potrzebna może być analiza i usunięcie skutków włamania.

Helix Ultimate 2.2.10 usuwa 12 problemów bezpieczeństwa, w tym podatny upload plików, stored XSS, błędy kontroli dostępu i obejście strony Coming Soon. Pięć luk otrzymało już numery CVE, a dwie najwyżej ocenione mają wynik 8,9 i 8,6 w CVSS 4.0.

Wszystkie wydania Helix Ultimate od 1.0 do 2.2.9 są objęte co najmniej częścią zgłoszeń. Dla Joomla 4, 5 i 6 rozwiązaniem jest Helix Ultimate 2.2.10 lub nowszy. Joomla 3 wymaga osobnego pakietu J3 Security Fixes v1.0.2.

Joomla Guru może wykonać kopię, aktualizację Helix Ultimate i test szablonu. Jeśli podatna wersja była dostępna publicznie lub z kont o szerokich prawach, możemy sprawdzić pliki, użytkowników i logi oraz przeprowadzić usuwanie skutków włamania.

HSTS w witrynie Joomla to konfiguracja nagłówka Strict-Transport-Security na serwerze, proxy, CDN lub w obsługującym go mechanizmie aplikacji. Nie wynika automatycznie z samego zainstalowania certyfikatu SSL/TLS.

Najpierw potwierdź poprawne działanie HTTPS dla domeny, panelu oraz używanych subdomen. Sprawdź przekierowania i zasoby wczytywane przez HTTP. Wymuszenie HTTPS w ustawieniach Joomla i polityka HSTS to powiązane, ale odrębne mechanizmy.

Nie kopiuj bez analizy ustawień includeSubDomains ani preload. Mogą objąć również pocztę webową, środowiska testowe i inne usługi w domenie. Ustal, która warstwa wysyła nagłówek, aby uniknąć sprzecznych ustawień.

Po zmianie odczytaj rzeczywistą odpowiedź HTTPS i sprawdź zachowanie przeglądarki. Zapamiętana polityka może obowiązywać mimo późniejszej zmiany serwera. Plan wdrożenia powinien więc obejmować także sposób wycofania konfiguracji i utrzymanie ważnych certyfikatów.

Zobacz także: definicja HSTS.

Źródło: dokumentacja MDN. Sprawdzono: 12 września 2026 r.

HTTP Strict Transport Security (HSTS) to mechanizm, dzięki któremu witryna informuje przeglądarkę, że ma łączyć się z nią wyłącznie przez HTTPS przez określony czas. Politykę przekazuje nagłówek Strict-Transport-Security odebrany przez bezpieczne połączenie.

Przeglądarka zapamiętuje zasadę i może zamieniać kolejne wejścia HTTP na HTTPS przed wysłaniem żądania. HSTS nie wydaje certyfikatu i nie naprawia jego błędów.

Parametr max-age określa czas obowiązywania polityki. Opcja includeSubDomains rozszerza ją na subdomeny, co wymaga poprawnego HTTPS także na nich. Lista preload to osobny mechanizm o konsekwencjach wykraczających poza pojedynczą zmianę nagłówka.

Przed wdrożeniem sprawdź wszystkie objęte hosty. Zbyt szeroka lub zbyt długa polityka może utrudnić korzystanie z usługi po błędzie konfiguracji. Samo usunięcie nagłówka z serwera nie usuwa natychmiast reguły już zapamiętanej przez przeglądarkę.

Zobacz także: HSTS w Joomla.

Źródło: dokumentacja MDN. Sprawdzono: 12 września 2026 r.

Nagłówek HTTP Referrer-Policy kontroluje, ile informacji o stronie odsyłającej (wysyłanej przez nagłówek Referer) powinno być dołączonych do żądań. Za domyślną opcje przyjmuje się 'no-referrer-when-downgrade' co ozacze że: wysyłanie HTTP -> HTTP, HTTPS -> HTTPS lub HTTP -> HTTPS, ale nie jest wysyłany do mniej bezpiecznych miejsc z http, czyli HTTPS -> HTTP

HTTPS to połączenie HTTP zabezpieczone protokołem TLS. Chroni dane przesyłane między przeglądarką a serwerem przed odczytaniem i niezauważoną zmianą w drodze. Certyfikat pozwala przeglądarce zweryfikować tożsamość serwera dla wskazanej domeny.

Certyfikat i obsługę TLS zwykle konfiguruje się w hostingu lub na serwerze. Muszą obejmować używane nazwy domen i pozostawać ważne. Samo wpisanie https w odsyłaczu nie tworzy poprawnej konfiguracji szyfrowanego połączenia.

Co sprawdzić na stronie Joomla?

Najpierw potwierdź działanie witryny pod HTTPS, a następnie uporządkuj przekierowanie ze starego protokołu i ustawienia strony. Obrazy, skrypty oraz arkusze stylów także powinny korzystać z HTTPS. Zasoby pobierane przez HTTP mogą powodować problemy mieszanej zawartości i blokady w przeglądarce.

Przetestuj stronę publiczną, logowanie do zaplecza i formularze. Sprawdzaj również odnowienie certyfikatu. HTTPS zabezpiecza transmisję, lecz nie potwierdza braku złośliwych plików na serwerze ani bezpieczeństwa każdego rozszerzenia. Aktualizacje, ochrona kont i kopie zapasowe pozostają potrzebne niezależnie od poprawnego certyfikatu.

Zobacz także: HSTS w Joomla: konfiguracja HTTPS, Kopia zapasowa Joomla, Zaplecze Joomla (panel administratora).

Źródło: dokumentacja MDN. Sprawdzono: 17 września 2026 r.

Koszt usuwania wirusów z Joomla zależy głównie od liczby zainfekowanych stron, dostępu do logów i kopii, rodzaju infekcji oraz tego, czy wystarczy czyszczenie, czy potrzebna jest migracja. Cena powinna obejmować nie tylko usunięcie widocznego kodu, lecz także ustalenie prawdopodobnej drogi wejścia, aktualizację podatnych elementów, zmianę danych dostępowych, testy i zabezpieczenie serwisu.

Koszt usunięcia wirusów przez Joomlaguru.pl na wrzesień 2026 - 1.200 zł do kompleksowej usługi wchodzi również po czyszczeniu monitoring strony wraz z dodatkowymi skanami bezpieczeństwa.

Skaner online może wykryć przekierowanie, złośliwy JavaScript albo obecność domeny na czarnej liście, ale nie potwierdzi, że serwer jest czysty. Pełna diagnostyka Joomla wymaga sprawdzenia plików, bazy danych, kont administratorów, zadań cyklicznych i logów. Wynik „brak zagrożeń” w publicznym skanerze nie wyklucza backdoora działającego po stronie PHP.

Poradnik dotyczy Joomla 4, 5 i 6. Informacje oraz odnośniki sprawdzono 10 września 2026 roku.

29 lipca 2026 roku wydano JCE 2.9.99.10 z poprawką bezpieczeństwa dotyczącą zmiany nazw plików. Luka pozwalała zalogowanemu użytkownikowi z odpowiednio uprzywilejowanym profilem edytora zmienić nazwę pliku tak, aby stał się on ukryty w przeglądanym katalogu. Problem nie umożliwiał samodzielnie zdalnego wykonania kodu i nie miał skali krytycznej podatności JCE ujawnionej w czerwcu.

Aktualizację warto jednak zainstalować na wszystkich stronach używających JCE, zwłaszcza tam, gdzie dostęp do przeglądarki plików otrzymują redaktorzy, autorzy albo inne osoby spoza zespołu administracyjnego. Wydanie zawiera również dodatkowe utwardzenie operacji na plikach.

Joomla Guru oferuje aktualizacje i opiekę techniczną Joomla, obejmujące kopię zapasową, kontrolę uprawnień oraz test edytora po wdrożeniu. Jeśli na stronie występują nieznane profile JCE, pliki PHP lub podejrzane konta, potrzebne może być usuwanie wirusów z Joomla połączone z analizą plików i logów.

Aktualizacja 12 października 2026 r.: instaluj JCH Optimize 9.4.2 także wtedy, gdy masz już 9.4.0 lub 9.4.1. Wydanie z 10 października zawiera kolejne poprawki bezpieczeństwa: blokuje odczyt plików CSS i JavaScript poza katalogiem witryny oraz żądania do prywatnych adresów sieciowych przy łączeniu plików. Wcześniejsza aktualizacja do 9.4.1 nie usuwa tych problemów.

9.4.0 naprawiło kilka innych luk, a 9.4.1 usunęło błąd Redis i APCu. Obecnie zalecanym wydaniem jest stabilne 9.4.2 dla Joomla 5 i 6. Oznaczenia HIGH i MEDIUM w changelogu są ocenami producenta, nie wynikami CVSS. Na 12 października nie znaleźliśmy rekordów CVE przypisanych do tych październikowych poprawek wersji Joomla.

Joomla Guru może wykonać kopię, aktualizację JCH Optimize i test pamięci podręcznej. Przy podejrzeniu nieuprawnionych zmian konfiguracji lub plików pomagamy w analizie incydentu.

JCTables dla Joomla ma krytyczną lukę pozwalającą osobie bez konta odczytywać i zmieniać dane w bazie. CVE-2026-76570 otrzymało ocenę 10,0 w skali CVSS 4.0. Poprawka znajduje się w wersji 1.21.1.

JCTables służy do pokazywania i edytowania tabel. Problem występował w kontrolerze frontendu, do którego można było wysyłać żądania bez sprawdzenia logowania i uprawnień. W podatnym kodzie nazwy tabel, kolumn i wartości trafiały do zapytań SQL bez wystarczającej ochrony.

Jeżeli używasz komponentu, wykonaj kopię i zainstaluj JCTables Free 1.21.1 →. Dla edycji Pro pobierz pakiet po zalogowaniu do konta JoomCode. W razie potrzeby Joomla Guru może wykonać aktualizację i test tabel oraz kontrolę skutków włamania.

Joomla 3.10 jest już dostępna do pobrania. Wydanie zawiera 92 poprawki w działaniu ogólnym oraz narzędzia pomagające przy aktualizacji do wersji Joomla 4. To wydanie przejściowe między wersją Joomla z rodziny 3 oraz Joomla 4. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak, dołącz do darmowego kursu. JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 3.10.15 eLTS jest już dostępna do pobrania dla osób, które mają wykupione wsparcie płatne. Możesz wykupić wsparcie na własną rękę lub skontaktować się z nami, aby wdrożyć takie wsparcie oraz zabezpieczyć Twoją instalacje Joomla 3. Oczywiście Najlepszym rozwiązniem jest migracja Joomla do wersji 4 lub 5.

Joomla 5 jest obecnie najnowszą gałęzią. Joomla 4 będzie otrzymywać wsparcie bezpieczeństwa do 14 października 2025, a poprawki w działaniu ogólnym są przewidzenie do 15 października 2024.

Wydanie Joomla 3.10.16 i 3.10.17, które zawierają poprawki bezpieczeństwa z Joomla 5.1.2/4.4.5 oraz 5.1.3/4.4.7. Wydanie to jest dostępne z kanału płatnego eLTS. eLTS zapewnie wsparcie dla Joomla 3.x do 17 lutego 2025. Więc to już najwyższy czas, aby przygotować się do migracji strony. Przy czym zapewnisz sobie bezpieczeństwo z otwartego bezpłatnego kanału aktualizacyjnego. Dostaniesz przy okazji w pakiecie szereg nowości z Joomla 4 oraz Joomla 5, którę sa w budowane w core systemu. Wsparcie dla wyższych wersji PHP, które powoduje znaczące przyspieszenie w testach rzędu 30% względem starej wersji.

Joomla 5 jest obecnie najnowszą gałęzią. Joomla 4 będzie otrzymywać wsparcie bezpieczeństwa do 14 października 2025, a poprawki w działaniu ogólnym są przewidzenie do 15 października 2024.

Joomla 3.9 jest już w fazie beta co oznacza, że pracę nad tą wersją są już ku ukończeniu. Planowane są wydania jeszcze RC, czyli Realise Candidate i stable. To wydanie w całości będzie, prawie że poświęcone narzędziom prywatności. Jednakże znalazło się miejsce również na kilka nowości, które mogą Cię zainteresować. Jak na przykład wyszukiwanie w treści artykułu, a nie tylko po tytułach, czy Google Invisible reCaptcha. 

Joomla 3.9.19. Jest to wydanie poprawiające pięć błędów bezpieczeństwa oraz wprowadza 40 poprawek w działaniu ogólnym. Pamiętaj, aby przed aktualizacja wykonać kopie bezpieczeństwa swojej strony.

Joomla 3.9.20 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 6 luk w zabezpieczeniach i zawiera ponad 25 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 3.9.21 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 3 luku w zabezpieczeniach i zawiera 20 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 3.9.22 jest już dostępna do pobrania. To wydanie zawiera 25 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Dlaczego aktualizacje są ważne dowiesz się z #32 odcinka JOOMLA TO PROSTE.

Joomla 3.9.28 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 5 luku w zabezpieczeniach i zawiera 15 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.0.1 , 4.0.2 oraz Joomla 3.10.1 jest już dostępna do pobrania. Wydanie dla Joomla 4.0.1 usuwa 1 lukę w zabezpieczeniach i zawiera poprawki w działaniu ogólnym. Wydanie 3.10.1 zawiera poprawki w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.0.3 oraz Joomla 3.10.2 jest już dostępna do pobrania. Wydanie dla Joomla 4.0.3  zawiera poprawki w działaniu ogólnym. Wydanie 3.10.2 zawiera poprawki w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.0.4 oraz Joomla 3.10.3 jest już dostępna do pobrania. Wydanie dla Joomla 4.0.4  zawiera poprawki w działaniu ogólnym. Wydanie 3.10.3 zawiera poprawki w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz, jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.0.5 oraz Joomla 3.10.4 jest już dostępna do pobrania. Wydanie dla Joomla 4.0.5  zawiera poprawki w działaniu ogólnym. Wydanie 3.10.4 zawiera poprawki w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.0.6 oraz Joomla 3.10.5 jest już dostępna do pobrania. Wydanie dla Joomla 4.0.6  zawiera poprawki w działaniu ogólnym. Wydano 108 poprawek. Wydanie 3.10.5 zawiera poprawki w działaniu ogólnym. Wydano 15 poprawek. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.1 oraz Joomla 3.10.6 jest już dostępna do pobrania. Wydanie dla Joomla 4.1 nowe możliwości i zawiera poprawki w działaniu ogólnym. Joomla 4.1 to między innymi ulepszenia dla dostępności. Menedżer zadań dla wykonywania cyklicznych zadań. System pomocy. Szablony potomne. Lepsza obsługa kodu. Wsparcie dla języków w treści dla programów np. czytających z treści. Wydanie 3.10.6 zawiera poprawki w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.1.1 oraz Joomla 3.10.7 jest już dostępna do pobrania. Wydanie dla Joomla 4.1.1  zawiera poprawki bezpieczeństwa, jak i w działaniu ogólnym. Wydanie 3.10.7 zawiera poprawki bezpieczeństwa, jak i w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.1.2 oraz Joomla 3.10.8 jest już dostępna do pobrania. Wydanie dla Joomla 4.1.2  zawiera poprawki bezpieczeństwa i w działaniu ogólnym. Wydanie 3.10.8 zawiera poprawki bezpieczeństwa i w działaniu ogólnym. Wydania zawierają poprawki z poprzednich wersji oprócz powodującej problem z logowaniem. Ten problem będzie rozwiązany po dodatkowych testach. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.1.3 oraz Joomla 3.10.9 jest już dostępna do pobrania. Wydanie dla Joomla 4.1.3  zawiera poprawki w działaniu ogólnym. Wydanie 3.10.9 zawiera poprawki w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.1.4 jest już dostępna do pobrania. Wydanie dla Joomla 4.1.4  zawiera poprawki bezpieczeństwa i w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Nowe wydania Joomla 4.1.5 oraz Joomla 3.10.10 jest już dostępna do pobrania. Wydanie dla Joomla 4.1.5  zawiera poprawki w działaniu ogólnym. Wydanie 3.10.10 zawiera poprawki w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.

Joomla 4.2 ujrzała światło dzienne. A w niej 230 poprawek w działaniu ogólnym. Najważniejsze  z nich znajdziesz w tym artykule. Joomla 3.10.11 - opis zmian też jest dostępny po polsku. Przeczytaj koniecznie. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu Joomla 4 dla każdego.

Joomla 4.2.1 jest już dostępna do pobrania. Wydanie dla Joomla 4.2.1  zawiera poprawki bezpieczeństwa i  w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.