Critical Security Notice

Before scanning a compromised Joomla site, close the original entry points first.

1.  Update SP Page Builder to v6.9.1 or later.
2.  Update Helix Ultimate to v2.2.10 and Helix 3 to v3.1.4.
3.  Update or remove JCE if it is installed.
4.  Update PHP immediately to a patched version: 8.5.12, 8.4.27, 8.3.36, or 8.2.35, as appropriate for your environment. If your hosting provider manages PHP, contact them to apply the security update.
5.  Take a full backup and run the first scan on staging when possible.

Critical PHP security alert (October 2026): Two critical remote code execution vulnerabilities, CVE-2026-109618 and CVE-2026-109619, affect PHP installations serving web requests. Under certain conditions, unauthenticated attackers may execute code on vulnerable servers. The PHP team has released security updates, and recommends updating immediately. No complete workaround is available; applying the appropriate patch is the recommended remediation.

In June 2026, a critical unauthenticated RCE was disclosed in SP Page Builder versions below 6.6.2. The flaw allowed attackers to upload PHP webshells without logging in, read configuration.php, create rogue Super User accounts, and inject Stored XSS payloads into Helix Ultimate mega-menu items—potentially within minutes of finding a vulnerable site.

Official PHP security advisory: PHP critical security updates