Kerngegevens
- Leverancier
- JoomlaCK
- Product
- Page Builder CK
- Soort software
- –
- Getroffen versies
- Page Builder CK voor Joomla Alle versies tot en met 3.5.10 (Joomla 3-reeks ouder dan 3.1.1, Joomla 4-reeks ouder dan 3.4.10)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Page Builder CK (huidige reeks) 3.6.0 (advies: 3.6.5)
- Page Builder CK voor Joomla 4 3.4.10
- Page Builder CK voor Joomla 3 3.1.1
- CVE gepubliceerd
- 29 juni 2026
- Op de KEV-lijst sinds
- 7 juli 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 25 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de Joomla-extensie Page Builder CK kan iedereen, zonder in te loggen, een bestand naar de website uploaden en zelf kiezen in welke map het terechtkomt. Een aanvaller zet zo een PHP-bestand (een webshell) op de server en voert het uit, waarmee hij de volledige site overneemt. Het lek werd binnen enkele uren na de patch van 27 juni 2026 al misbruikt en staat sinds 7 juli 2026 op de KEV-lijst van CISA.
Wie loopt risico?
Je loopt risico als je een Joomla-site beheert met Page Builder CK in versie 3.5.10 of ouder, of een niet-gepatchte versie uit de Joomla 3-reeks (ouder dan 3.1.1) of Joomla 4-reeks (ouder dan 3.4.10). Dit geldt voor zowel de gratis (Light) als de Pro-versie. De aanval vereist geen account en geen handeling van een gebruiker, dus elke site die vanaf internet bereikbaar is, is direct blootgesteld. Het component depubliceren beschermt je niet. Webbureaus en MSP's met meerdere Joomla-klanten moeten al hun sites nalopen.
Wat moet je doen?
Controleer of je Page Builder CK gebruikt
Kijk in het beheerdeel van Joomla onder Systeem > Extensies of Page Builder CK is geïnstalleerd en welke versie het is. Doe dit voor alle Joomla-sites die je beheert.
Werk Page Builder CK bij
Update via Systeem > Update > Extensies of download de nieuwste versie via joomlack.fr. Kies bij voorkeur 3.6.5 of nieuwer: daarin zijn ook twee latere lekken opgelost (CVE-2026-63048 en CVE-2026-74254). Draai je nog Joomla 3 of 4, installeer dan minimaal de gepatchte versie 3.1.1 (Joomla 3) of 3.4.10 (Joomla 4).
Blokkeer de upload tijdelijk als je niet direct kunt bijwerken
Kun je niet meteen bijwerken, verwijder de extensie dan of blokkeer de upload-aanvragen naar Page Builder CK in een WAF of reverse proxy. Alleen PHP-uitvoering in de map /images blokkeren is niet genoeg, omdat de aanvaller zelf de map kiest.
Zoek naar sporen van misbruik
Het lek wordt sinds eind juni actief misbruikt. Zoek naar onverwachte PHP-bestanden, onder meer in /media/com_pagebuilderck/ (bijvoorbeeld in de submap gfonts), maar ook in /images, /templates en /administrator. Controleer de gebruikerslijst op onbekende beheerders. Vind je een webshell, ruim de site dan volledig op en wijzig alle wachtwoorden en geheimen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onbeperkte upload van bestanden met een gevaarlijk type (CWE-434) in een front-end endpoint van de Joomla-extensie Page Builder CK. Het upload-endpoint controleerde niet wie de aanvraag deed of wat die mocht; alleen een Joomla CSRF-token werd gecontroleerd, en dat token staat in de openbare pagina's van de site. Daarnaast nam het endpoint de doelmap en de bestandsnaam inclusief extensie ongewijzigd over uit de aanvraag. Een bezoeker zonder account kan zo een PHP-bestand in een willekeurige map onder de webroot plaatsen en het daarna via de browser laten uitvoeren. Volgens de CVSS 4.0-vector is de aanval via het netwerk uit te voeren, met lage complexiteit, zonder privileges en zonder gebruikersinteractie, met hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. Getroffen zijn alle versies tot en met 3.5.10. Versie 3.6.0 voegde de ontbrekende rechtencontrole toe; latere versies dichtten nog een upload-lek voor redacteuren (CVE-2026-63048, opgelost in 3.6.3) en een SQL-injectie (CVE-2026-74254, opgelost in 3.6.5).
CVSS-vector (versie 4.0, basisscore 10,0, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:X/U:Red- Zwakheid (CWE)
- CWE-434 · Onbeperkt uploaden van bestanden met een gevaarlijk type
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 30,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 7 juli 2026
- Deadline van CISA
- 10 juli 2026
- Gebruikt door ransomwaregroepen
- Niet bekend