KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola situs web berbasis Joomla untuk memeriksa ekstensi (extension) yang terpasang dan menindaklanjuti rekapitulasi 37 kerentanan kritis dengan skor CVSS 9,2 hingga 10,0 yang terbit di NVD pada 15 Agustus hingga 30 September 2026. Seluruhnya terdapat pada ekstensi pihak ketiga, bukan pada inti (core) Joomla.
Ekstensi adalah komponen tambahan seperti formulir, galeri, toko daring, atau pembangun halaman. Kualitas kodenya sangat beragam dan satu situs sering memuat belasan di antaranya, sehingga ekstensi menjadi pintu masuk yang paling sering dimanfaatkan penyerang pada situs Joomla.
Ikhtisar
Daftar ini diambil dari pencarian NVD dengan kata kunci Joomla Extension untuk CVE yang terbit pada 15 Agustus 2026 hingga 30 September 2026, lalu disaring pada skor 9,0 ke atas. Hasilnya 37 CVE pada ekstensi dari 17 pengembang. Berdasarkan jenisnya: 15 SQL injection, 16 remote code execution atau unggah berkas berbahaya, dan sisanya bypass autentikasi, pengambilalihan akun, path traversal, serta pemeriksaan hak akses yang hilang. Sebanyak 31 CVE dapat dieksploitasi tanpa login; 6 lainnya memerlukan akun dengan hak tertentu.
Dampak
- Pengambilalihan situs. Kerentanan remote code execution dan unggah berkas memungkinkan penyerang menjalankan kode PHP di server, memasang webshell, dan mengubah isi situs.
- Pencurian dan perusakan data. SQL injection tanpa login membuka seluruh basis data situs, termasuk akun administrator dan data pengguna layanan (pada ekstensi toko daring, direktori bisnis, atau properti).
- Akun administrator diambil alih. Dua kerentanan pada ekstensi SSO miniOrange memungkinkan masuk sebagai pengguna mana pun, termasuk administrator, tanpa kata sandi.
- Situs pemerintah yang diambil alih kerap dipakai untuk menyisipkan konten judi daring, phishing, atau menjadi batu loncatan menuju server lain di jaringan yang sama.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| Phoca Cart (Phoca) | Semua versi sebelum 4.0.13 (Joomla 4), sebelum 5.2.4 (Joomla 5), dan sebelum 6.1.7 (Joomla 6) | 4.0.13, 5.2.4, atau 6.1.7 sesuai cabang; paket Joomla 3 (3.5.8) belum memiliki perbaikan |
| Sourcerer (Regular Labs) | Semua versi sebelum 16.0.0 | 16.0.0 atau lebih baru |
| Conditional Content (Regular Labs) | Semua versi sebelum 8.0.0 | 8.0.0 atau lebih baru |
| Page Builder CK (Joomlack) | Semua versi sebelum 3.6.5 | 3.6.5 atau lebih baru |
| Balbooa Forms (Balbooa) | Semua versi sebelum 2.4.3.4 | 2.4.3.4 atau lebih baru |
| Zoo (YOOtheme) | Semua versi sebelum 4.1.64 | 4.1.64 atau lebih baru |
| J-BusinessDirectory (CMSJunkie) | Semua versi sebelum 6.2.3 | 6.2.3 atau lebih baru |
| Fabrik (Fabrikar) | Semua versi sebelum 4.7.2 | 4.7.2 atau lebih baru |
| miniOrange OAuth Client | Semua versi sebelum 3.2.0 | 3.2.0 atau lebih baru |
| miniOrange OAuth SSO (OIDC), Login with Keycloak, dan SSO for Educational Institutes | Semua versi sebelum 1.2.2 | 1.2.2 atau lebih baru |
| miniOrange SAML SSO | Semua versi sebelum 11.0.2 | 11.0.2 atau lebih baru |
| miniOrange SAML SP SSO (ADFS) dan SAML SSO login with Google Apps | Semua versi sebelum 6.4 | 6.4 atau lebih baru |
| Joomla Event Manager | Semua versi sebelum 5.0.1 | 5.0.1 atau lebih baru |
| J2Store (J2Commerce) | 1.0.0 hingga 3.3.21, 4.0.0 hingga 4.0.21, dan 4.1.0 hingga 4.1.6 | 3.3.22, 4.0.22, atau 4.1.7 sesuai cabang |
| JooDatabase Lite (Feenders) | Semua versi sebelum 5.1.0 | 5.1.0 atau lebih baru |
| SP Property (JoomShaper) | Semua versi sebelum 4.1.4 | 4.1.4 atau lebih baru |
| OrdaSoft Gallery (OrdaSoft) | Semua versi sebelum 6.2.7 | 6.2.7 atau lebih baru |
| Real Estate Manager (Free) (OrdaSoft) | Semua versi sebelum 6.7.9 | 6.7.9 atau lebih baru |
| Vehicle Manager (Free) (OrdaSoft) | Semua versi sebelum 6.5.8 | 6.5.8 atau lebih baru |
| Book Library (Free) (OrdaSoft) | Semua versi sebelum 6.4.6 | 6.4.6 atau lebih baru |
| Joomla CCK (OrdaSoft) | Semua versi sebelum 8.3.16 | 8.3.16 atau lebih baru |
| YouTube Gallery (JoomlaBoat) | Semua versi sebelum 5.7.3 | 5.7.3 atau lebih baru |
| AcyMailing Enterprise (AcyMailing) | Semua versi sebelum 11.1.0 | 11.1.0 atau lebih baru |
| UP plugin (Lomart) | 5.0.0 hingga 5.2.0 dan 6.0.0 hingga 6.0.29 | Versi terbaru dari pengembang (NVD tidak mencantumkan versi perbaikan; lihat situs pengembang) |
| JCTables (JoomCode) | Semua versi sebelum 1.21.1 (menurut VulnCheck: seluruh rilis edisi Free hingga 1.10.31.2) | 1.21.1 atau lebih baru |
Beberapa ekstensi memiliki edisi gratis dan berbayar dengan penomoran berbeda (Free, Pro, Enterprise). Periksa nama persis dan nomor versi ekstensi di dasbor Joomla sebelum membandingkan dengan tabel ini. Versi perbaikan pada J2Store dan Phoca Cart bergantung pada cabang yang dipakai; versi di cabang lain tidak dapat dibandingkan langsung.
Detail Teknis
Pola kelemahannya berulang di hampir semua ekstensi dalam daftar ini:
- SQL injection terjadi ketika nilai dari permintaan (parameter pencarian, pengurutan
ORDER BY, atau filter) digabungkan langsung ke kueri basis data tanpa pengutipan atau daftar nilai yang diizinkan. Pada kasusORDER BY, pengutipan biasa pun tidak melindungi karena posisi itu tidak berupa string. - Unggah berkas dan remote code execution terjadi ketika ekstensi menyimpan berkas dengan nama dan ekstensi pilihan pengguna ke direktori yang bisa diakses web, atau mengeksekusi kode (
eval()) yang disusun dari masukan pengguna. - Bypass autentikasi pada ekstensi SSO terjadi karena verifikasi tanda tangan atau cookie sesi tidak diperiksa dengan benar.
- Pemeriksaan hak akses (ACL) yang hilang membuat fungsi sensitif dapat dipanggil oleh pengguna yang seharusnya tidak berhak.
Beberapa CVE bersyarat. Pada Balbooa Forms, risiko hanya ada bila sebuah formulir memakai fitur kode PHP pasca-kirim. Lima CVE (Joomla Event Manager, Conditional Content, OrdaSoft Gallery, dan UP plugin) memerlukan akun administrator atau penulis, sehingga risikonya terutama muncul bila akun tersebut bocor atau diambil alih. CVE-2026-78069 pada J2Store memerlukan login backend dengan hak apa pun.
Rincian teknis yang lebih dalam tidak dimuat di sini karena dapat langsung dimanfaatkan terhadap situs yang belum diperbarui.
Rincian CVE
| Ekstensi (Pengembang) | CVE | Skor CVSS | Jenis | Versi Perbaikan |
|---|---|---|---|---|
| Balbooa Forms (Balbooa) | CVE-2026-67364 | 10,0 | Injeksi kode PHP (remote code execution), tanpa login; hanya bila formulir memakai penanganan PHP khusus | 2.4.3.2 (2.4.3.4 untuk CVE-2026-102425) |
| Fabrik (Fabrikar) | CVE-2026-76604 | 10,0 | Remote code execution lewat elemen formulir PHP, tanpa login | 4.7.2 |
| Fabrik (Fabrikar) | CVE-2026-76605 | 10,0 | Remote code execution lewat elemen gambar | 4.7.2 |
| Fabrik (Fabrikar) | CVE-2026-76606 | 10,0 | Path traversal lewat elemen gambar | 4.7.2 |
| Fabrik (Fabrikar) | CVE-2026-76607 | 10,0 | Pemeriksaan hak akses (ACL) tidak ada pada elemen unduhan | 4.7.2 |
| J-BusinessDirectory (CMSJunkie) | CVE-2026-75949 | 10,0 | Unggah dan hapus berkas sembarang (path traversal) | 6.2.3 |
| JCTables (JoomCode) | CVE-2026-76570 | 10,0 | SQL injection baca dan tulis pada API CRUD, tanpa login | 1.21.1 |
| Joomla CCK (OrdaSoft) | CVE-2026-102427 | 10,0 | Unggah berkas PHP, remote code execution tanpa login | 8.3.16 |
| Sourcerer (Regular Labs) | CVE-2026-74253 | 10,0 | Remote code execution, tanpa login | 16.0.0 |
| UP (plugin) (Lomart) | CVE-2026-97163 | 10,0 | Pemasangan kode jarak jauh, tanpa login | Tidak dicantumkan NVD; gunakan versi terbaru dari pengembang |
| Zoo (YOOtheme) | CVE-2026-74803 | 10,0 | Unggah berkas sembarang, tanpa login | 4.1.64 |
| miniOrange OAuth Client dan SSO OIDC/Keycloak (miniOrange) | CVE-2026-77995 | 10,0 | Pengambilalihan akun sembarang (termasuk admin) lewat manipulasi cookie | OAuth Client 3.2.0; OIDC SSO, Keycloak, Educational Institutes 1.2.2 |
| miniOrange SAML SSO (termasuk ADFS dan Google Apps) (miniOrange) | CVE-2026-77998 | 10,0 | Bypass autentikasi lewat verifikasi tanda tangan SAML yang keliru, tanpa login | SAML SSO 11.0.2; ADFS dan Google Apps 6.4 |
| AcyMailing Enterprise (AcyMailing) | CVE-2026-94132 | 9,5 | Berkas lampiran email masuk disimpan tanpa pemeriksaan ekstensi, membuka jalan remote code execution | 11.1.0 |
| Balbooa Forms (Balbooa) | CVE-2026-102425 | 9,5 | Remote code execution lewat shortcode kolom formulir, tanpa login; hanya bila formulir memakai aksi PHP pasca-kirim | 2.4.3.4 |
| Fabrik (Fabrikar) | CVE-2026-77992 | 9,5 | Injeksi kode pada elemen kalkulasi; endpoint tanpa pemeriksaan akses | 4.7.2 |
| J2Store (J2Commerce) | CVE-2026-78069 | 9,5 | Otorisasi tidak ada pada pengendali Apps; pengosongan tabel dan eksekusi berkas SQL; butuh login backend | 3.3.22 / 4.0.22 / 4.1.7 (per cabang) |
| Conditional Content (Regular Labs) | CVE-2026-85192 | 9,4 | Remote code execution lewat aturan PHP dalam artikel; butuh akun penulis | 8.0.0 |
| Joomla Event Manager (Joomla Event Manager) | CVE-2026-77991 | 9,4 | Unggah berkas berbahaya menjadi remote code execution; butuh akun administrator | 5.0.1 |
| OrdaSoft Gallery (OrdaSoft) | CVE-2026-88856 | 9,4 | Remote code execution lewat pemanggilan fungsi bebas; butuh akun berhak | 6.2.7 |
| OrdaSoft Gallery (OrdaSoft) | CVE-2026-88857 | 9,4 | Unggah berkas PHP lewat fitur watermark; butuh akun berhak | 6.2.7 |
| UP (plugin) (Lomart) | CVE-2026-97160 | 9,4 | Injeksi perintah PHP; butuh akun berhak | Tidak dicantumkan NVD; gunakan versi terbaru dari pengembang |
| Book Library (Free) (OrdaSoft) | CVE-2026-101110 | 9,3 | SQL injection pada ORDER BY, tanpa login | 6.4.6 |
| Fabrik (Fabrikar) | CVE-2026-76571 | 9,3 | SQL injection pada parameter filter daftar, tanpa login | 4.7.2 |
| Fabrik (Fabrikar) | CVE-2026-76602 | 9,3 | SQL injection pada parameter pengurutan, tanpa login | 4.7.2 |
| J-BusinessDirectory (CMSJunkie) | CVE-2026-75954 | 9,3 | SQL injection pada pencarian | 6.2.3 |
| JooDatabase Lite (Feenders) | CVE-2026-78080 | 9,3 | SQL injection, tanpa login | 5.1.0 |
| OrdaSoft Gallery (OrdaSoft) | CVE-2026-88854 | 9,3 | SQL injection pada pencarian galeri, tanpa login | 6.2.7 |
| Page Builder CK (Joomlack) | CVE-2026-74254 | 9,3 | SQL injection, tanpa login | 3.6.5 |
| Page Builder CK (Joomlack) | CVE-2026-77994 | 9,3 | SQL injection tingkat kedua (second order), tanpa login | 3.6.5 |
| Phoca Cart (Phoca) | CVE-2026-74251 | 9,3 | SQL injection pada filter atribut, tanpa login | 4.0.13 / 5.2.4 / 6.1.7 (per cabang Joomla) |
| Real Estate Manager (Free) (OrdaSoft) | CVE-2026-100752 | 9,3 | SQL injection pada ORDER BY, tanpa login | 6.7.9 |
| SP Property (JoomShaper) | CVE-2026-78082 | 9,3 | SQL injection pada pencarian dan filter properti, tanpa login | 4.1.4 |
| Vehicle Manager (Free) (OrdaSoft) | CVE-2026-101108 | 9,3 | SQL injection pada ORDER BY, tanpa login | 6.5.8 |
| YouTube Gallery (JoomlaBoat) | CVE-2026-94130 | 9,3 | SQL injection pada pencarian video, tanpa login | 5.7.3 |
| Zoo (YOOtheme) | CVE-2026-74804 | 9,3 | SQL injection, tanpa login | 4.1.64 |
| UP (plugin) (Lomart) | CVE-2026-97161 | 9,2 | Path traversal dan akses berkas, tanpa login | Tidak dicantumkan NVD; gunakan versi terbaru dari pengembang |
Skor adalah CVSS 4.0 dari penerbit CVE proyek Joomla. "Versi perbaikan" mengikuti deskripsi NVD ("sebelum x.y.z" berarti diperbaiki di x.y.z) dan diperiksa silang ke pengumuman pengembang atau peneliti bila tersedia.
Rekomendasi
- Inventarisasi ekstensi. Buka dasbor administrator Joomla, menu Extensions → Manage (Joomla 3) atau System → Manage → Extensions (Joomla 4 dan 5). Catat nama, edisi, dan nomor versi setiap ekstensi, lalu cocokkan dengan tabel di atas.
- Hapus (uninstall) ekstensi yang tidak dipakai. Menonaktifkan saja belum tentu cukup karena berkasnya masih bisa dijangkau langsung lewat alamat web pada banyak ekstensi. Setiap ekstensi yang dibiarkan terpasang menambah permukaan serangan.
- Perbarui ekstensi yang terdampak ke versi perbaikan atau lebih baru, melalui pembaruan Joomla atau situs pengembang. Ekstensi berbayar (Pro atau Enterprise) memerlukan lisensi aktif. Pembaruan tidak selalu muncul otomatis di dasbor, terutama bila situs memakai cabang ekstensi yang berbeda; periksa halaman pengembang.
- Bila ekstensi belum memiliki versi perbaikan (misalnya Phoca Cart untuk Joomla 3 dan UP plugin menurut data NVD), hapus atau ganti ekstensi tersebut, atau batasi akses ke halaman yang memakainya sampai perbaikan tersedia.
- Lakukan pencadangan berkas dan basis data sebelum memperbarui, agar tersedia titik pemulihan.
- Periksa tanda penyusupan pada situs yang memakai ekstensi terdampak sebelum diperbarui: akun Super User yang tidak dikenal di menu Users, berkas
.phpbaru di direktorimedia/,images/,tmp/, dancache/, ekstensi atau plugin yang tidak pernah dipasang pengelola, serta permintaan berulang dengan parameter janggal pada log akses. - Ganti kata sandi akun administrator dan kredensial basis data bila ada indikasi penyusupan, serta aktifkan autentikasi dua faktor untuk akun administrator.
- Pastikan inti Joomla dan versi PHP yang dipakai masih didukung dan berada pada versi terbaru, serta batasi akses ke direktori
/administratordari jaringan tepercaya bila memungkinkan. - Biasakan memeriksa daftar Vulnerable Extensions List proyek Joomla sebelum memasang ekstensi baru, dan pilih ekstensi yang masih aktif dipelihara pengembangnya.
- Laporkan melalui kanal pelaporan resmi bila ditemukan indikasi situs telah disusupi, agar penanganan dapat dikoordinasikan.
Catatan Status Eksploitasi
Berdasarkan pemeriksaan terhadap katalog Known Exploited Vulnerabilities (KEV) CISA versi 30 September 2026, tidak satu pun dari 37 CVE dalam rekap ini tercatat sedang dieksploitasi secara aktif. Namun, vektor CVSS 4.0 pada CVE-2026-76570 (JCTables) dan CVE-2026-102427 (Joomla CCK) memuat penanda kematangan eksploitasi Attacked, dan peneliti VulnCheck telah menerbitkan analisis untuk JCTables yang menunjukkan rantai serangan hingga remote code execution. Perlakukan keduanya sebagai prioritas tertinggi.
Perlu diketahui pula bahwa dua kerentanan ekstensi Joomla lain di luar rentang rekap ini sudah masuk KEV: CVE-2026-56290 pada Page Builder CK dari Joomlack (masuk 7 Juli 2026), dan CVE-2026-48907 pada Joomla Content Editor (masuk 16 Juni 2026). Catatan ini penting karena Page Builder CK juga muncul dalam daftar di atas dengan CVE yang berbeda. Kerentanan plugin Joomla yang dapat dipicu tanpa login terbukti cepat dijadikan sasaran, sehingga status "belum tercatat di KEV" tidak boleh dijadikan alasan menunda.
Referensi
- NVD – Phoca Cart: CVE-2026-74251
- NVD – Sourcerer: CVE-2026-74253
- NVD – Page Builder CK: CVE-2026-74254, CVE-2026-77994
- NVD – Balbooa Forms: CVE-2026-67364, CVE-2026-102425
- NVD – Zoo: CVE-2026-74803, CVE-2026-74804
- NVD – J-BusinessDirectory: CVE-2026-75949, CVE-2026-75954
- NVD – Fabrik: CVE-2026-76571, CVE-2026-76602, CVE-2026-76604, CVE-2026-76605, CVE-2026-76606, CVE-2026-76607, CVE-2026-77992
- NVD – miniOrange: CVE-2026-77995, CVE-2026-77998
- NVD – Joomla Event Manager: CVE-2026-77991
- NVD – J2Store: CVE-2026-78069
- NVD – JooDatabase Lite: CVE-2026-78080
- NVD – SP Property: CVE-2026-78082
- NVD – Conditional Content: CVE-2026-85192
- NVD – OrdaSoft Gallery: CVE-2026-88854, CVE-2026-88856, CVE-2026-88857
- NVD – YouTube Gallery: CVE-2026-94130
- NVD – AcyMailing Enterprise: CVE-2026-94132
- NVD – UP plugin: CVE-2026-97160, CVE-2026-97161, CVE-2026-97163
- NVD – Real Estate Manager, Vehicle Manager, Book Library (OrdaSoft): CVE-2026-100752, CVE-2026-101108, CVE-2026-101110
- NVD – JCTables: CVE-2026-76570
- NVD – Joomla CCK: CVE-2026-102427
- VulnCheck – JCTables for Joomla (CVE-2026-76570) (30 September 2026)
- mySites.guru – Phoca Cart 5.2.4, 6.1.7 dan 4.0.13 memperbaiki SQL injection (16 Agustus 2026)
- mySites.guru – J2Store 3.3.22, 4.0.22 dan 4.1.7 (1 September 2026)
- Joomla – Vulnerable Extensions List
- CISA Known Exploited Vulnerabilities Catalog