YOOtheme Pro: критична вразливість 10 із 10 у популярному конструкторі сайтів. Що робити

Якщо ваш сайт на Joomla або WordPress створено за допомогою YOOtheme Pro 5, перевірте його сьогодні. У конструкторі виявили вразливість CVE-2026-102785 з максимальною оцінкою небезпеки — 10 із 10. Через неї будь-хто може завантажити на сайт шкідливу програму й отримати над ним контроль. Без логіна та пароля.

Виправлення вийшло 21 жовтня у версії 5.0.53. Але перші злами сталися ще вранці того самого дня, за кілька годин до виходу оновлення. А загальнодоступні інструменти для атаки вже є в інтернеті.

Тому просто оновитися недостатньо. Потрібно також перевірити, чи не встигли зламати ваш сайт. Нижче — покрокова інструкція.

Що таке YOOtheme Pro

YOOtheme Pro — це конструктор сайтів для Joomla та WordPress. За його допомогою сайт збирають із готових блоків, наче будинок із кубиків: перетягнули заголовок, галерею, форму — і сторінка готова. Програмувати не потрібно.

Тому він дуже популярний серед вебстудій і власників невеликих сайтів. За відкритими даними, в інтернеті працює понад 160 тисяч сайтів із YOOtheme Pro.

Що сталося

YOOtheme Pro вміє самостійно обробляти зображення: зменшувати, обрізати, повертати. Готові копії він зберігає у спеціальній папці. Щоб сторонні не могли замовляти обробку, кожне посилання на зображення має «підпис». Це як печатка на бланку замовлення у фотоательє.

Помилка полягала в тому, що підпис перевіряли не повністю. Зловмисник брав підпис із будь-якого відкритого зображення на сайті й додавав до замовлення власні пункти. Наприклад: «Збережи цей файл не в папці із зображеннями, а в іншому місці». Фотоательє бачило знайому печатку й виконувало все.

У результаті на сайт потрапляв файл, який виглядав як зображення, але всередині містив програму. Через неї зловмисник отримував повний контроль над сайтом.

Хронологія:

Кого це стосується

Зверніть увагу: в офіційному записі про вразливість зазначено лише Joomla. Але версія для WordPress використовує той самий код. Дослідники виявили зламані сайти на обох платформах.

Тимчасового рішення немає. Єдиний захист — оновлення до версії 5.0.53 або новішої.

Крок 1. Дізнайтеся версію

Joomla. Увійдіть до панелі адміністратора й відкрийте «Система» → «Керування» → «Розширення». У пошуку введіть YOOtheme. Версію зазначено в рядку розширення.

WordPress. Відкрийте «Зовнішній вигляд» → «Теми» та натисніть на тему YOOtheme. Версію зазначено в описі.

Через SSH. Перейдіть до папки сайту й виконайте одну з команд.

Для WordPress:

grep -m1 "Version" wp-content/themes/yootheme/style.css

Для Joomla:

grep -m1 "<version>" templates/yootheme/templateDetails.xml

Якщо у вас версія від 5.0.0 до 5.0.52, переходьте до кроку 2. Якщо 5.0.53 або новіша, усе одно виконайте крок 3.

Крок 2. Оновіть YOOtheme Pro

Спочатку створіть резервну копію сайту й бази даних. Якщо щось піде не так, ви зможете відновити сайт із копії.

Joomla. Відкрийте «Система» → «Оновлення» → «Розширення». Знайдіть YOOtheme Pro та натисніть «Оновити».

WordPress. Відкрийте «Майстерня» → «Оновлення». Знайдіть тему YOOtheme та оновіть її.

Якщо оновлення не з'являється. Для автоматичних оновлень у налаштуваннях YOOtheme має бути вказаний ліцензійний ключ (API key). Якщо ключа немає, завантажте свіжу версію у своєму обліковому записі на сайті YOOtheme та встановіть її вручну, як звичайне розширення або тему.

Після оновлення ще раз перевірте версію, як у кроці 1. Має бути 5.0.53 або новіша. Відкрийте сайт і переконайтеся, що сторінки та зображення виглядають і працюють як раніше.

Крок 3. Перевірте, чи не зламали сайт

Оновлення закриває вразливість, але не прибирає те, що зловмисник уже міг залишити. Це як змінити замок після крадіжки ключів. Якщо злодій встиг зайти й сховати в шафі запасний ключ, новий замок не допоможе.

У відомих атаках зловмисники розміщували свої файли в папці із завантаженнями. Там зазвичай зберігаються лише зображення та документи. PHP-файлів там бути не повинно.

Для WordPress:

find wp-content/uploads -type f -name "*.php"

Для Joomla:

find images -type f \( -name "*.php" -o -name "php.ini" \)

Для обох платформ. Перегляньте PHP-файли, які змінювалися після 20 жовтня:

find . -type f -name "*.php" -newermt "2026-10-20" | head -50

Якщо ви не оновлювали сайт у ці дні, а файли змінилися, це привід насторожитися.

Якщо знайшли підозрілі файли:

1. Тимчасово закрийте сайт для відвідувачів.

2. Відновіть резервну копію від 20 жовтня або раніше. Робіть це в повністю порожню папку, щоб не залишилося сторонніх файлів.

3. Одразу оновіть YOOtheme Pro та всі інші розширення. У старій копії також є вразлива версія.

4. Змініть паролі адміністраторів, бази даних і FTP.

5. Лише після цього знову відкрийте сайт.

Чек-лист

• Дізнався версію YOOtheme Pro

• Створив резервну копію сайту й бази даних

• Оновив YOOtheme Pro до версії 5.0.53 або новішої

• Перевірив, що сайт виглядає та працює як раніше

• Пошукав PHP-файли в папці із завантаженнями

• Перевірив PHP-файли, змінені після 20 жовтня

• Якщо знайшов сліди злому, відновив чисту копію та змінив паролі

Не хочете розбиратися самостійно?

Оновити тему просто. Знайти приховану програму зловмисника набагато складніше. Її маскують під зображення або ховають серед тисяч файлів сайту. А відновити сайт із резервної копії так, щоб нічого не втратити, потрібно обережно.

Для таких випадків Zomro пропонує два варіанти.

SOD: перевіримо та очистимо сайт

Наш системний адміністратор:

• перевірить версію YOOtheme Pro та оновить її;

• знайде сторонні файли та сліди злому;

• за потреби відновить сайт із чистої резервної копії;

• допоможе змінити паролі та закрити зайві доступи.

Вартість: €12.50 за кожні 15 хвилин роботи.

Замовити перевірку сайту

Premium: швидка допомога, коли вона потрібна

Якщо сайт зламали, кожна година працює на зловмисника. За звичайним технічним запитом відповідь може надійти протягом 10 годин. З Premium ми відповідаємо за 5–30 хвилин.

Нові вразливості з'являються щотижня. З Premium вам не доведеться розбиратися з ними самотужки.

Підключити Premium