Блог Dead Krolik'а
Вышел заяц на крыльцо ... Зайцу 23 года, и у него почти высшее образование

Скриншот взлома можно посмотреть здесь. Тема на офф форуме доступна тут.

Поздравляем девелоперов с этакой штукой. Ждем новых версий. :)

Я так понимаю ломали именно joomla.org и глобальных взломов по всему миру ждать не стоит. Дыра где-то в шаблоне или через шаблоны, раз там на скриншоте было употреблено слово “template”. И баг я так чувствую где-то у них, а не в самой джумле. Хотя кто знает, потом расскажут как все было.

Но. Как говорит тут оказалось, они там ваще не даже на админке htpasswd’ом пароль не ставят. И по заверению смарта некоторые уже очень давно знали пароль от админки, подобрав его брутфорсом.

P.S. Спасибо boston‘у за инфу ;-)

Upd

Гы. Разобрались они вообщем. Какой-то левый софт (магазин я так понял, вообще с джумлой не связанный) был уязвим и через него все и поломали. Официальные объяснения доступны тут.