Joomla 6.1.4 и 5.4.9: крупное обновление безопасности и исправлений

29 сентября 2026 года вышли новые версии Joomla 6.1.4 и Joomla 5.4.9. Это крупные обновления безопасности и исправлений для актуальных веток Joomla 5.x и Joomla 6.x.

В новых версиях устранено сразу 16 уязвимостей, включая произвольное удаление каталогов, серверную подделку запросов (SSRF), обход многофакторной аутентификации, создание учетных записей при отключенной регистрации, несколько вариантов XSS и ошибки проверки прав доступа.

Две уязвимости получили высокий уровень опасности, тринадцать — средний и одна — низкий. Кроме исправлений безопасности, разработчики устранили ошибки в Менеджере шаблонов, Медиа-менеджере, Умном поиске, пользовательских полях, тегах, многоязычных ассоциациях и других частях Joomla.

Исправления безопасности

В Joomla 6.1.4 и Joomla 5.4.9 устранены следующие уязвимости:

Уязвимости высокого уровня

• CVE-2026-90915 — произвольное удаление каталогов: Недостаточная проверка имени группы кэша допускала обход каталогов при очистке файлового кэша. Пользователь с необходимыми административными правами мог удалить произвольный каталог, доступный для записи веб-серверу. Уязвимость затрагивает Joomla 4.0.0–5.4.8 и 6.0.0–6.1.3.
• CVE-2026-92222 — серверная подделка запросов (SSRF): URL-адреса, используемые некоторыми расширениями ядра для серверных запросов, проверялись недостаточно строго. Это могло позволить авторизованному пользователю заставить сервер обращаться к внутренним или внешним ресурсам. Уязвимость затрагивает Joomla начиная с версии 3.0.0.

Уязвимости среднего уровня

• CVE-2026-90906 — XSS в методе HTMLHelper::link: Недостаточное экранирование данных в методе формирования ссылок могло привести к выполнению внедренного JavaScript-кода. Уязвимость присутствовала начиная с Joomla 1.5.0.
• CVE-2026-90907 — создание учетной записи при отключенной регистрации: Контроллер profile.save не проверял, авторизован ли пользователь. Анонимный посетитель мог создать учетную запись уровня Guest даже на сайте, где регистрация пользователей была отключена.
• CVE-2026-90913 — неправильная проверка ACL в API уровней доступа: Недостаточная проверка разрешений позволяла пользователям веб-сервисов выполнять запрещенные операции изменения уровней доступа.
• CVE-2026-90914 — XSS в макетах аудио и видео: В общих макетах вывода медиафайлов отсутствовало необходимое экранирование данных.
• CVE-2026-90917 — раскрытие материалов из закрытых категорий: Ошибка проверки прав позволяла просматривать материалы с тегами, находившиеся в категориях, к которым у посетителя не было доступа.
• CVE-2026-90918 — XSS в HTML-шаблонах почтовых сообщений: Недостаточное экранирование в системе почтовых шаблонов создавало XSS-векторы сразу в нескольких расширениях ядра.
• CVE-2026-92223 — изменение этапа рабочего процесса без необходимых прав: Пользователь мог изменить этап Workflow у материала, к которому у него не было соответствующего доступа.
• CVE-2026-92224 — XSS в макете панели инструментов ссылок: Недостаточная очистка данных могла привести к выполнению JavaScript-кода при формировании кнопок и ссылок панели инструментов.
• CVE-2026-92225 — XSS в списке модулей: Недостаточное экранирование данных в списке модулей позволяло внедрить вредоносный JavaScript-код.
• CVE-2026-92226 — недостаточная проверка прав в задачах редактирования веб-сервисов: Некоторые API-запросы проверяли общие разрешения, но могли не учитывать право пользователя на изменение конкретного объекта.
• CVE-2026-92227 — обход многофакторной аутентификации: При определенном сценарии с включенной функцией «Запомнить меня» пользователь, знающий правильный пароль, мог получить последующий доступ через cookie без завершения проверки второго фактора.
• CVE-2026-92231 — обход XSS-фильтра через HTML5-сущности: Различия между обработкой HTML-сущностей фильтром Joomla и браузером позволяли обойти часть правил InputFilter.
• CVE-2026-92232 — обход XSS-фильтра через пробельные символы: Специально сформированные пробельные символы в HTML-ссылках с data: могли использоваться для обхода фильтрации.

Уязвимость низкого уровня

• CVE-2026-90916 — неправильная проверка прав при сравнении версий: В представлении сравнения истории материалов пользователь с правом редактирования мог получить доступ к содержимому других объектов, которое не должно было быть ему доступно.

Какие версии Joomla находятся в зоне риска?

Конкретный диапазон зависит от уязвимости, но в целом обновить необходимо:

• все сайты на Joomla 5 до версии 5.4.8 включительно;
• все сайты на Joomla 6 до версии 6.1.3 включительно;
• сайты на Joomla 4, которые еще не были обновлены до актуальной ветки;
• сайты на устаревшей Joomla 3, поскольку некоторые уязвимости присутствуют начиная с Joomla 1.5.0 или 3.0.0.

Исправления ошибок и улучшения

В Joomla 6.1.4 и Joomla 5.4.9 включены следующие исправления ошибок. Все исправления из ветки 5.4 также перенесены в Joomla 6.1:

• Исправлено формирование абсолютных URL логотипов в структурированных данных Schema.org.
• Исправлена обработка пустого значения даты publish_up.
• Устранена ошибка при удалении значения переменной пользовательского поля.
• В XML альтернативных макетов теперь корректно учитываются атрибуты option и title.
• Исправлена передача параметров URL в пункте меню тегов.
• Медиа-редактор теперь может повторно сохранять изображения с исходными именами, содержащими символы не из ASCII.
• В модуле материалов восстановлен вывод ссылки «Подробнее», если вводный текст обрезается параметром introtext_limit.
• Исправлено преждевременное отключение раскрывающихся элементов интерфейса до завершения их закрытия.
• Добавлено экранирование символов формул при экспорте статистики баннеров в CSV.
• Для проверки TOTP-кодов теперь используется безопасное сравнение hash_equals.
• Исправлена ошибка ограничения open_basedir в пользовательском поле типа «Список изображений».
• Добавлена безопасная обработка вызова функции php_uname на серверах, где она отключена.
• Исправлена работа индексатора Умного поиска с PostgreSQL.
• Исправлена потеря связей категорий при снятии с публикации переведенной категории.
• Предотвращено создание дублирующихся записей в таблице #__ucm_content при каждом сохранении материала с тегами.
• В систему обновлений добавлен признак, позволяющий обозначать обновления безопасности.
• Кнопка фильтрации снова отображается в списке материалов категории.
• Исправлены некорректные значения jobLocationType в структурированных данных JobPosting.
• Исправлена проверка уникальности псевдонимов тегов.
• В Joomla 6.1 добавено получение языка в макете edit_container.php.
• Устранены ошибки в Менеджере шаблонов.
• Исправлено предупреждение при попытке доступа к отсутствующим исходным файлам шаблона.
• Улучшена клавиатурная навигация в поле календаря.
• В Joomla 6.1 удалена лишняя проверка CSRF-токена из POW CAPTCHA.
• Медиа-менеджер больше не позволяет выбрать один объект дважды, что ранее могло приводить к ошибке 404 при удалении.
• Исправлен подсчет переопределений шаблона.
• Устранено дублирование вариантов в пользовательских полях.
• В Joomla 6.1 исправлена фильтрация списка категорий по месяцу.
• Результат preg_match в методе isImage теперь явно преобразуется в логическое значение.
• Исправлена подпись полного текста в устаревшем модуле новостей.
• В Joomla 6.1 исправлена работа параметра InstallerScriptTrait::allowDowngrades.
• Устранена ошибка распаковки архивов в Менеджере шаблонов.
• Переведены кнопки в конструкторе редактора TinyMCE.
• Исправлены ошибки поля выбора макета компонента ComponentlayoutField.
• Исправлена очистка селектора контекста в рабочих процессах.

Исправлена проблема Менеджера шаблонов

В Joomla 5.4.8 и Joomla 6.1.3 появилась регрессионная ошибка в Менеджере шаблонов. При создании новой папки или работе с переопределениями могло появляться сообщение Snooping out of bounds @.

В Joomla 5.4.9 и Joomla 6.1.4 эта проблема исправлена. После обновления создание папок, редактирование файлов шаблона и управление переопределениями снова должны работать корректно.

Где скачать Joomla 6.1.4 и 5.4.9?

Скачать последнюю версию Joomla можно в разделе загрузок нашего сайта либо на официальном сайте проекта Joomla.

Для существующего сайта рекомендуется использовать встроенный компонент обновления Joomla:

1. Создайте полную резервную копию файлов и базы данных.
2. Перейдите в раздел Система → Обновление → Joomla.
3. Убедитесь, что система предлагает версию 5.4.9 или 6.1.4 в зависимости от используемой ветки.
4. Запустите обновление и дождитесь его завершения.
5. После обновления очистите кэш Joomla и проверьте основные страницы сайта и панель управления.

Особенности пути обновления

Для прямого обновления до Joomla 5.4.9 сайт должен находиться на Joomla 4.4 или одной из версий Joomla 5. Если используется Joomla 4.3 или более ранняя версия, сначала необходимо обновиться до Joomla 4.4.

Для перехода на Joomla 6.1.4 сайт должен сначала работать на Joomla 5.4. Поэтому рекомендуемый путь выглядит следующим образом:

• Joomla 4.3 и ниже → Joomla 4.4 → Joomla 5.4.9;
• Joomla 5.0–5.3 → Joomla 5.4.9 → Joomla 6.1.4;
• Joomla 5.4.x → Joomla 5.4.9 или Joomla 6.1.4;
• Joomla 6.0–6.1.3 → Joomla 6.1.4.

Обновление с Joomla 5.4 до Joomla 6.1.4

Обновление с Joomla 5.4.x до Joomla 6 — это не миграция, а апгрейд. Расширения для Joomla 5, в которых удалены все устаревшие вызовы и используется актуальный API Joomla, будут работать в Joomla 6.

Большинство остальных расширений могут продолжить работу при включенном плагине Behaviour 6 — Backward Compatibility. Тем не менее перед переходом необходимо проверить совместимость шаблона, компонентов, модулей и плагинов.

Рекомендуется сначала выполнить обновление на копии рабочего сайта и только после успешной проверки переносить изменения на основной сайт.

Joomla 5.4.x продолжит получать исправления ошибок до 13 октября 2026 года, а исправления безопасности — до 12 октября 2027 года. Поэтому переход на Joomla 6 можно выполнять планово, но установить Joomla 5.4.9 необходимо уже сейчас.

Что проверить после обновления?

• авторизацию на сайте и в панели управления;
• многофакторную аутентификацию и функцию «Запомнить меня»;
• создание, редактирование и сохранение материалов;
• Медиа-менеджер и редактирование изображений;
• Менеджер шаблонов и создание переопределений;
• Умный поиск и индексацию материалов;
• пользовательские поля, теги и многоязычные связи;
• формы, почтовые шаблоны и отправку сообщений;
• работу сторонних компонентов, модулей и плагинов.

Оставить заявку Список услуг