YOOtheme Pro: krytyczna luka 10/10 w kreatorze stron. Co robić?

Jeśli Twoja strona na Joomla lub WordPress została zbudowana przy użyciu YOOtheme Pro 5, sprawdź ją jeszcze dzisiaj. W kreatorze wykryto lukę bezpieczeństwa CVE-2026-102785, której przyznano maksymalną ocenę zagrożenia — 10 na 10. Pozwala ona każdemu przesłać na stronę złośliwy program i przejąć nad nią kontrolę. Bez loginu i hasła.

Poprawka została wydana 21 października w wersji 5.0.53. Jednak pierwsze włamania miały miejsce już rano tego samego dnia, kilka godzin przed udostępnieniem aktualizacji. Publicznie dostępne narzędzia do wykorzystania tej luki są już w internecie.

Dlatego sama aktualizacja nie wystarczy. Trzeba również sprawdzić, czy strona nie została wcześniej zhakowana. Poniżej znajdziesz instrukcję krok po kroku.

Czym jest YOOtheme Pro?

YOOtheme Pro to kreator stron internetowych dla Joomla i WordPress. Umożliwia tworzenie stron z gotowych bloków, podobnie jak budowanie domu z klocków: przeciągasz nagłówek, galerię lub formularz i strona jest gotowa. Nie trzeba umieć programować.

Dlatego narzędzie jest bardzo popularne wśród agencji interaktywnych i właścicieli niewielkich stron internetowych. Według publicznie dostępnych danych w internecie działa ponad 160 tysięcy stron korzystających z YOOtheme Pro.

Co się stało?

YOOtheme Pro potrafi automatycznie przetwarzać obrazy: zmniejszać ich rozmiar, przycinać i obracać. Gotowe kopie zapisuje w specjalnym folderze. Aby osoby nieupoważnione nie mogły zlecać przetwarzania obrazów, każdy adres URL obrazu zawiera specjalny „podpis”. To coś w rodzaju pieczątki na formularzu zamówienia w zakładzie fotograficznym.

Problem polegał na tym, że podpis nie był weryfikowany w całości. Atakujący mógł skopiować podpis z dowolnego publicznie dostępnego obrazu na stronie i dopisać do żądania własne instrukcje. Na przykład: „Zapisz ten plik nie w folderze ze zdjęciami, ale w innym miejscu”. Zakład fotograficzny rozpoznawał znajomą pieczątkę i wykonywał wszystkie polecenia.

W rezultacie na stronę trafiał plik, który wyglądał jak obraz, ale w rzeczywistości zawierał program. Dzięki niemu atakujący mógł uzyskać pełną kontrolę nad stroną.

Chronologia wydarzeń:

Kogo dotyczy problem?

Uwaga: w oficjalnym opisie podatności wymieniono wyłącznie Joomla. Jednak wersja dla WordPress wykorzystuje ten sam kod. Badacze wykryli zhakowane strony działające na obu platformach.

Nie ma tymczasowego rozwiązania. Jedynym sposobem zabezpieczenia strony przed tą luką jest aktualizacja do wersji 5.0.53 lub nowszej.

Krok 1. Sprawdź wersję

Joomla. Zaloguj się do panelu administracyjnego i przejdź do System → Zarządzanie → Rozszerzenia (System → Manage → Extensions). W wyszukiwarce wpisz YOOtheme. Numer wersji znajdziesz przy rozszerzeniu.

WordPress. Przejdź do Wygląd → Motywy (Appearance → Themes) i kliknij motyw YOOtheme. Numer wersji znajduje się w jego opisie.

Przez SSH. Przejdź do katalogu strony i wykonaj jedno z poniższych poleceń.

Dla WordPress:

grep -m1 "Version" wp-content/themes/yootheme/style.css

Dla Joomla:

grep -m1 "<version>" templates/yootheme/templateDetails.xml

Jeśli korzystasz z wersji od 5.0.0 do 5.0.52, przejdź do kroku 2. Jeśli masz już wersję 5.0.53 lub nowszą, mimo wszystko wykonaj krok 3.

Krok 2. Zaktualizuj YOOtheme Pro

Najpierw wykonaj kopię zapasową plików strony i bazy danych. Jeśli coś pójdzie nie tak, będziesz mógł przywrócić stronę z kopii.

Joomla. Przejdź do System → Aktualizacja → Rozszerzenia (System → Update → Extensions). Znajdź YOOtheme Pro i kliknij Aktualizuj (Update).

WordPress. Przejdź do Kokpit → Aktualizacje (Dashboard → Updates). Znajdź motyw YOOtheme i zaktualizuj go.

Jeśli aktualizacja się nie pojawia. Automatyczne aktualizacje wymagają wprowadzenia klucza licencyjnego (API key) w ustawieniach YOOtheme. Jeśli klucz nie został skonfigurowany, pobierz najnowszą wersję ze swojego konta na stronie YOOtheme i zainstaluj ją ręcznie, tak jak zwykłe rozszerzenie lub motyw.

Po aktualizacji ponownie sprawdź wersję zgodnie z krokiem 1. Powinna to być wersja 5.0.53 lub nowsza. Otwórz stronę i upewnij się, że wszystkie podstrony i obrazy wyglądają oraz działają tak jak wcześniej.

Krok 3. Sprawdź, czy strona nie została zhakowana

Aktualizacja usuwa lukę, ale nie usuwa tego, co atakujący mógł już pozostawić na stronie. To tak, jakby wymienić zamek po kradzieży kluczy. Jeśli złodziej zdążył wejść do domu i ukryć zapasowy klucz w szafie, nowy zamek nie rozwiąże problemu.

W znanych przypadkach ataków hakerzy umieszczali złośliwe pliki w folderach przeznaczonych na przesyłane materiały. Zazwyczaj znajdują się tam tylko obrazy i dokumenty. Plików PHP zasadniczo nie powinno tam być.

Dla WordPress:

find wp-content/uploads -type f -name "*.php"

Dla Joomla:

find images -type f \( -name "*.php" -o -name "php.ini" \)

Dla obu platform. Sprawdź pliki PHP zmodyfikowane po 20 października:

find . -type f -name "*.php" -newermt "2026-10-20" | head -50

Jeśli w tych dniach nie aktualizowałeś strony, a niektóre pliki zostały zmienione, warto dokładniej to sprawdzić.

Jeśli znajdziesz podejrzane pliki:

1. Tymczasowo zablokuj dostęp odwiedzających do strony.

2. Przywróć kopię zapasową z 20 października lub wcześniejszą. Przywracaj ją do całkowicie pustego katalogu, aby nie pozostały żadne obce pliki.

3. Natychmiast zaktualizuj YOOtheme Pro i wszystkie pozostałe rozszerzenia. Stara kopia nadal zawiera podatną wersję.

4. Zmień hasła administratorów, bazy danych i FTP.

5. Dopiero po wykonaniu tych czynności ponownie udostępnij stronę.

Lista kontrolna

• Sprawdziłem wersję YOOtheme Pro

• Wykonałem kopię zapasową plików strony i bazy danych

• Zaktualizowałem YOOtheme Pro do wersji 5.0.53 lub nowszej

• Sprawdziłem, czy strona wygląda i działa tak jak wcześniej

• Sprawdziłem, czy w folderach przesyłanych plików znajdują się pliki PHP

• Sprawdziłem pliki PHP zmodyfikowane po 20 października

• Jeśli znalazłem oznaki włamania, przywróciłem czystą kopię zapasową i zmieniłem hasła

Nie chcesz zajmować się tym samodzielnie?

Aktualizacja motywu jest prosta. Znalezienie ukrytego złośliwego programu jest znacznie trudniejsze. Atakujący mogą zamaskować go jako obraz lub ukryć wśród tysięcy plików strony. Również przywrócenie strony z kopii zapasowej bez utraty ważnych danych wymaga ostrożności.

W takich sytuacjach Zomro oferuje dwa rozwiązania.

SOD: sprawdzimy i oczyścimy Twoją stronę

Nasz administrator systemów:

• sprawdzi wersję YOOtheme Pro i ją zaktualizuje;

• poszuka złośliwych plików i śladów włamania;

• w razie potrzeby przywróci stronę z czystej kopii zapasowej;

• pomoże zmienić hasła i ograniczyć zbędny dostęp.

Cena: €12.50 za każde 15 minut pracy.

Zamów sprawdzenie strony

Premium: szybka pomoc, gdy jej potrzebujesz

Jeśli Twoja strona została zhakowana, każda godzina daje atakującemu dodatkowy czas. W przypadku standardowego zgłoszenia technicznego odpowiedź może zająć nawet 10 godzin. Z Premium odpowiadamy w ciągu 5–30 minut.

Nowe luki bezpieczeństwa pojawiają się co tydzień. Z Premium nie musisz radzić sobie z nimi samodzielnie.

Włącz wsparcie Premium