CVE-2026-92227
Joomla CVE-2026-92227: обход MFA через remember-me cookie
Joomla 4–6 затрагивалась ошибкой ранней выдачи remember-me cookie, позволявшей обойти MFA. Проверьте ветку CMS и обновитесь до исправленного релиза.
Кому нужно проверить
Администраторам Joomla, особенно сайтов с MFA и доступной авторизацией. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При выполнении сценария аутентификации может быть обойдена дополнительная проверка MFA.
Затронутые версии
Joomla 4.0.0–5.4.8 и 6.0.0–6.1.3.
Исправленные версии
Joomla 5.4.9 или 6.1.4; используйте актуальную поддерживаемую ветку.
Что сделать
- 1Сверьте версию CMS и настройки MFA с advisory.
- 2Сделайте резервную копию и проверьте обновление на staging.
- 3Обновите Joomla как минимум до исправленного релиза.
- 4Завершите существующие сессии и проверьте журналы входов.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.