一、先给结论2026年8月22日前后集中披露的 Joomla 表单/数据库构建扩展Fabrik安全修复4.7.2/4.7.3一次性修补了一大批全部无需认证即可利用的高危漏洞——其中 CVE-2026-76604、CVE-2026-76605、CVE-2026-76606 三个 CVSS 4.0 评分达到满分的 10.0另有两个 SQL 注入CVE-2026-76571、CVE-2026-76602评分为 9.3。最要命的一点受影响版本覆盖 Fabrik 从 1.0.0 到 4.7.3 的所有历史版本而且 CVE-2026-76604PHP 表单元素 RCE的利用难度极低——用户提交的代码会被直接 eval攻击者不需要任何账号。凡是把 Fabrik 暴露在公网的 Joomla 站点都处于被自动化扫描工具快速命中的窗口期。行动优先级今天之内完成版本核查 → 升级到最新修复版 → 无法升级的站点立刻做WAF/网络层缓解。二、漏洞全景这批修复到底修了什么2.1 漏洞清单总览CVE编号漏洞类型影响位置CVSS 4.0认证要求CVE-2026-76604无认证远程代码执行CWE-94PHP 表单元素10.0无CVE-2026-76605无认证远程代码执行CWE-94图片元素 image element10.0无CVE-2026-76606路径遍历Path Traversal图片元素10.0无CVE-2026-76607缺失访问控制ACL缺失下载插件10.0无CVE-2026-77992heredoc 终止符逃逸 → 代码注入CWE-94calc 计算元素9.5无CVE-2026-76571SQL 注入SQL注入之一9.3无CVE-2026-76602SQL 注入ORDER BY列表排序参数9.3无注fabrik 4.7.2 发布后又被重新发布过多次部分站点显示 4.7.2 但仍未包含全部修复请以官方最新构建版本为准。2.2 三个满分漏洞的根因拆解CVE-2026-76604PHP 表单元素任意代码执行根因Fabrik 的 PHP 表单元素会评估用户提供的代码PHP eval 路径且该代码路径缺乏输入控制。攻击者通过构造提交内容即可在服务器上执行任意 PHP 代码。CVSS 向量CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H全维高危且存在 Scope 变更——意味着不仅是 Web 应用连底层主机都可能被拿下。CVE-2026-76605图片元素代码注入根因CWE-94代码生成控制不当出现在 Fabrik 的 image element 组件中。同样无需认证、无需用户交互通过网络即可触发效果等价于在 Web 服务器上获得完整 RCE 能力。CVE-2026-76606图片元素路径遍历根因图片元素对用户控制的路径参数缺乏校验攻击者可穿越目录读取服务器任意文件如 /etc/passwd、配置数据库凭据等。虽然它本身是读文件但在配合前两个 RCE 的场景下路径遍历常被用来做情报收集与攻击铺垫。2.3 版本影响范围受影响Fabrik 1.0.0 至 4.7.3含的所有历史版本。修复版本官方最新构建的 4.7.2 / 4.7.3注意多次重发需重新下载。平台限制Fabrik 4.x 仅支持 Joomla 4.2 与 Joomla 5.1Joomla 3 站点无法安装 Fabrik 4 的任何版本且官方不再提供 Fabrik 3 的补丁包——calc 漏洞官方只给了一行源码补丁Joomla 3 Fabrik 3 的站点建议尽快规划移除或迁移。三、实战排查三步定位你是否有风险3.1 第一步摸清资产清单首先确认哪些站点装了 Fabrik、装的是哪个版本。如果站点数量多不要手工逐个看用脚本批量拉取版本信息#!/bin/bash# 批量检查 Joomla 站点 Fabrik 版本读取 manifest 文件# 用法./check_fabrik.sh 站点列表文件每行一个域名whileread-rdomain;doecho$domain# 常见路径/administrator/components/com_fabrik/fabrik.xmlcurl-sk--max-time10https://${domain}/administrator/components/com_fabrik/fabrik.xml\|grep-oEversion[^]/version|head-1done$1也可以直接在服务器上检查文件系统以 Linux Apache 为例# 在 Joomla 站点根目录执行find.-path*/com_fabrik/fabrik.xml-execgrep-lversion{}\;-execgrep-oEversion[^]/version{}\;3.2 第二步确认是否暴露在公网Fabrik 的前端表单端点属于 com_fabrik 组件攻击者无需登录即可触达。用以下命令确认站点公网可达性以及相关端点是否可访问# 检查前端 com_fabrik 端点是否存在HTTP 状态码非 404 即有暴露forpathin\index.php?optioncom_fabrik\index.php?optioncom_fabrikviewlist\index.php?optioncom_fabriktaskform.process;docode$(curl-sk-o/dev/null-w%{http_code}--max-time10https://YOUR_DOMAIN/${path})echo${path}-${code}done注意存在端点 ≠ 一定可利用不同漏洞触发路径不同但这能快速筛选出需要重点处置的对象。3.3 第三步查看 Web 日志中的可疑请求利用 PHP 表单元素 / calc 元素这类漏洞攻击者的请求会带有明显的代码注入特征。在 Nginx/Apache 访问日志中检索# 检索可疑的 com_fabrik 相关 POST 与异常参数grep-icom_fabrik/var/log/nginx/access.log\|grep-iEeval|system|exec|passthru|shell_exec|base64|phpinfo\|tail-50# 检索路径遍历特征%2e%2e / ..%2fgrep-iE(%2e%2e|\.\.%2f|\.\./)/var/log/nginx/access.log\|grep-ifabrik|tail-50如果发现这类记录意味着你的站点很可能已经被探测甚至利用需立即进入处置流程见第五节。四、加固教程三条路线按优先级执行4.1 路线A首选升级到修复版本Fabrik 4.x 站点直接到 fabrikar.com 下载最新构建版本并覆盖安装。注意4.7.2 版本号下存在多个构建重新下载一次确认文件时间戳与官方 changelog 匹配。升级前先备份数据库与站点文件。升级后回到 3.1 的检查脚本复核版本号。4.2 路线B应急Web 层缓解无法立即升级时用 WAF 规则或 Nginx 拦截高危端点# Nginx 应急缓解示例阻断 com_fabrik 前端高危端点非升级替代只是止血 location ~* ^/index\.php$ { if ($args ~* optioncom_fabrik) { return 403; } # 允许 Joomla 正常请求继续 try_files $uri 404; }更精准的做法是在 WAF如 ModSecurity / 云WAF中加入规则拦截对com_fabrik表单端点的异常长参数与PHP 代码特征eval(、system(、$_GET等。图片元素路径中的../与 URL 编码变体。ORDER BY等列表参数中的SQL 特征(select、union select、sleep(等。重要提醒WAF 缓解是止血不是治愈请在 7 天内完成升级或下线。4.3 路线C长期结构加固加固项操作禁用不用的元素后台禁用 PHP 表单元素、calc 计算元素如业务不需要直接卸载最小化安装Fabrik 只装在需要它的站点移除测试/演示实例网络隔离Fabrik 前端端点仅对业务需要的网段开放补丁管理将 Fabrik 纳入 CMS 扩展补丁监控清单订阅官方更新通知Joomla 3 迁移制定 Fabrik 3 站点的迁移或下线计划官方已停补五、疑似被利用后的处置流程隔离立即将受影响站点从公网断开或置于维护模式。取证备份 Web 日志、数据库、文件系统快照保留时间戳。排查后门重点检查plugins/、components/com_fabrik、tmp/、images/下的异常 PHP 文件用find搜索近期修改的可执行文件find/var/www-typef\(-name*.php-o-name*.phtml\)-mtime-7-execls-la{}\;清毒从官方源重装 Fabrik 与 Joomla 核心恢复数据库前先排查注入记录。复盘更新 Web 日志留存策略与 WAF 规则形成事件复盘报告。六、可下载产物Fabrik 安全自检清单# Joomla Fabrik 安全自检清单 v1.0 ## 资产盘点 - [ ] 已列出所有安装 Fabrik 的站点与版本号 - [ ] 已确认各站点 Fabrik 前端端点公网暴露情况 ## 漏洞状态 - [ ] 所有 Fabrik 4.x 站点已升级到官方最新构建 - [ ] Fabrik 3.x 站点已有迁移/下线计划 - [ ] 无法升级的站点已启用 WAF/网络缓解 ## 日志核查 - [ ] 已检索 Web 日志中的 com_fabrik 代码注入特征 - [ ] 已检索路径遍历与 SQL 注入特征 - [ ] 若发现可疑记录已进入处置流程 ## 长期加固 - [ ] 已禁用或卸载不使用的 PHP/calc 元素 - [ ] 已将 Fabrik 纳入补丁监控清单 - [ ] 已制定定期日志审计机制七、风险提醒与红线提醒窗口期紧迫无认证 RCE CVSS 满分 利用简单自动化扫描器很快就会覆盖全网 Joomla 站点不要赌没人发现我。版本号陷阱4.7.2 被多次重发务必以官方最新构建为准版本号相同不代表已修复。Joomla 3 是死角官方无补丁任何等官方补丁的想法都会让你裸奔请按迁移/下线处理。红线提醒本实验室规范本文仅做防御性技术拆解与加固指引不提供可利用的 PoC 代码或攻击载荷细节。请遵守平台内容规范勿将文中信息用于未授权测试。八、互动问题互动问题你的 Joomla 站点管理里扩展更新是被动等通知还是主动监控这次 Fabrik 事件有没有让你重新评估自己的补丁管理流程欢迎在评论区分享你的排查经历或加固方案好的思路我会整理成CMS 扩展安全运营专题。