Joomla gehackt?
Joomla 6 Migration
Blog
Referenzen
Über uns
Preise
Kontakt
Seit Juni 2026 hat das Joomla-Projekt 38 Sicherheitslücken in 28 Joomla-Erweiterungen veröffentlicht – darunter in JCE, SP Page Builder, Fabrik, iCagenda, AcyMailing und YOOtheme Pro. Zwei davon werden laut der US-Cybersicherheitsbehörde CISA bereits aktiv ausgenutzt. Hier finden Sie alle Lücken mit betroffenen Versionen, Stand 21. Oktober 2026, und was Sie jetzt tun sollten.
In fünf Minuten prüfen
- Im Joomla-Backend unter System → Update → Erweiterungen nach Updates suchen und alle einspielen – vorher sichern.
- Unter System → Verwalten → Erweiterungen nachsehen, welche der unten genannten Erweiterungen installiert sind, auch deaktivierte.
- Was Sie nicht mehr brauchen, deinstallieren. Eine deaktivierte Erweiterung kann je nach Lücke trotzdem erreichbar sein.
Aktiv ausgenutzt: diese zwei zuerst
Die Behörde CISA führt einen Katalog von Lücken, die nachweislich angegriffen werden. Für Joomla-Erweiterungen stehen dort seit diesem Sommer:
- Page Builder CK (JoomlaCK): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10 · wird aktiv ausgenutzt
- JCE Editor (Widget Factory): Editor-Profile ohne Anmeldung anlegbar, führt zur Ausführung von PHP-Code · CVSS 10 · wird aktiv ausgenutzt
Wer eine dieser Erweiterungen in einer betroffenen Version hatte, sollte nicht nur aktualisieren, sondern die Website auf fremde Dateien und neue Benutzer prüfen.
Verdacht auf einen Angriff?
Fremde Dateien, Weiterleitungen auf fremde Seiten, neue Administratoren: Wir sichern die Spuren, entfernen die Schadsoftware und schließen die Lücke.
Joomla gehackt? Hilfe ansehenAlle Lücken seit Juni 2026
Die Angaben stammen aus den offiziellen CVE-Einträgen; das Joomla-Projekt vergibt als CVE-Vergabestelle die Nummern für Joomla-Erweiterungen. „Betroffen bis“ nennt die letzte betroffene Version laut Eintrag. Maßgeblich für das Update ist die neueste Version des Herstellers.
September 2026
- JCTables (JoomCode): SQL-Injection ohne Anmeldung · CVSS 10
- JoomGallery (JoomGallery::friends): Datei-Upload ohne Anmeldung · CVSS 6,3
- T4 Page Builder (JoomlArt): Offenes Mail-Relay ohne Anmeldung · CVSS 6,9
August 2026
- YOOtheme Pro (YOOtheme): Einblick in fremde Module für Nutzer mit Template-Rechten · CVSS 5,1
- YOOtheme Pro (YOOtheme): Gespeichertes XSS für berechtigte Nutzer · CVSS 7,5
- Fabrik (Fabrikar): SQL-Injection ohne Anmeldung · CVSS 9,3
- YOOtheme Pro (YOOtheme): SQL-Injection für angemeldete Nutzer ab Autor · CVSS 8,6
- YOOtheme Pro (YOOtheme): Dateien lesen für berechtigte Nutzer · CVSS 7
- Page Builder CK (JoomlaCK): SQL-Injection · CVSS 9,3
- Sourcerer (Regular Labs): Ausführung von PHP-Code ohne Anmeldung · CVSS 10
- Phoca Cart (Phoca): SQL-Injection ohne Anmeldung · CVSS 9,3
- iCagenda (Kalender-Modul) (JoomliC): SQL-Injection ohne Anmeldung · CVSS 9,2
- Cotton Cloud (Tabaoca): Dateioperationen für angemeldete Nutzer (fehlende Rechteprüfung) · CVSS 5,3
- Cotton Cloud (Tabaoca): Dateioperationen ohne Anmeldung (fehlende Rechteprüfung) · CVSS 6,9
Juli 2026
- SP Page Builder (JoomShaper): SQL-Injection ohne Anmeldung · CVSS 9,2
- SP Page Builder (JoomShaper): SQL-Injection ohne Anmeldung · CVSS 9,2
- EasyStore (JoomShaper): SQL-Injection ohne Anmeldung · CVSS 9,3
- EasyStore (JoomShaper): Bestellungen und Daten anderer Kunden einsehbar · CVSS 9,2
- EasyStore (JoomShaper): Bestellungen und Zahlungsstatus ohne Anmeldung fälschbar · CVSS 8,7
- Membership Pro (JoomDonation): Unsichere Voreinstellung: Upload von Medien ohne Anmeldung
- jDownloads (jDownloads): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10
- Gridbox (Balbooa): Umgehung der Anmeldung bis zum Administrator · CVSS 9,4
- DJ-Classifieds (DJ-Extensions): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10
- Events Booking (JoomDonation): Unsichere Voreinstellung: Upload von Medien ohne Anmeldung
- ChronoForms 8 (ChronoEngine): Gespeichertes XSS ohne Anmeldung · CVSS 8,7
- Quix Page Builder Pro (ThemeXpert): SQL-Injection ohne Anmeldung · CVSS 8,7
- EDocman (JoomDonation): SQL-Injection ohne Anmeldung · CVSS 8,7
- DPCalendar (Digital Peak): SQL-Injection ohne Anmeldung · CVSS 8,7
- Phoca Download (Phoca): Datei-Upload für registrierte Nutzer, führt zur Ausführung von PHP-Code · CVSS 9
- RSFiles! (RSJoomla!): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10
- AcyMailing (Acyba): SQL-Injection · CVSS 9,2
- Balbooa Forms (Balbooa): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10
Juni 2026
- Page Builder CK (JoomlaCK): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10 · wird aktiv ausgenutzt
- Helix3 (JoomShaper): Dateien ohne Anmeldung löschen und schreiben, Template-Einstellungen ändern
- JoomCCK (JoomCoder): SQL-Injection über das Frontend · CVSS 8,7
- iCagenda (JoomliC): Datei-Upload über die Anhänge, führt zur Ausführung von PHP-Code · CVSS 10
- SP Page Builder (JoomShaper): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10
- JCE Editor (Widget Factory): Editor-Profile ohne Anmeldung anlegbar, führt zur Ausführung von PHP-Code · CVSS 10 · wird aktiv ausgenutzt
Weitere Sicherheitsupdates ohne CVE
Nicht jede behobene Lücke bekommt eine CVE-Nummer. Laut mySites.guru haben unter anderem diese Hersteller Sicherheitsupdates veröffentlicht:
- Regular Labs: großes Sicherheitsupdate für viele Erweiterungen (u. a. SSRF, Befehlsausführung, gespeichertes XSS)
- JCE: Fehler beim Umbenennen von Dateien, behoben in 2.9.99.10
- Gridbox: zahlreiche kritische Lücken, behoben in 2.20.2
- YOOtheme ZOO: Datei-Upload ohne Anmeldung und SQL-Injection, behoben in 4.1.66
- Fabrik: mehrere Lücken ohne Anmeldung, behoben in 4.7.2
- Helix Ultimate: Sicherheitsupdates in 2.2.7 und 2.2.10
- J2Store: sechs Lücken, u. a. SQL-Injection ohne Anmeldung, behoben in 3.3.23, 4.0.23 und 4.1.8
- SP Page Builder: SQL-Injection und umgehbares Captcha, behoben in 6.9.1
- JEM: fünf Lücken, laut mySites.guru noch ohne stabile Korrektur
Davor: Februar und März 2026
März 2026
- Astroid Framework (Astroid): Datei-Upload ohne Anmeldung, führt zur Ausführung von PHP-Code · CVSS 10
Februar 2026
- Tassos Framework (Convert Forms, EngageBox u. a.) (Tassos): Interne Funktionen ohne Rechteprüfung über com_ajax aufrufbar · CVSS 9,5
Auch bei uns: JooAg Shariff
Auch eine unserer eigenen Erweiterungen war betroffen: Das Plugin JooAg Shariff hatte bis Version 8.0.0 mehrere Schwächen, darunter XSS, eine von außen lesbare Datei und unbegrenzte Anfragen. Wir haben sie in Version 8.0.1 behoben und am 19. Oktober 2026 eine Sicherheitsmeldung veröffentlicht.
Was die Lücken gemeinsam haben
- 10 der 38 Lücken erlauben das Einschleusen und Ausführen von PHP-Code, meist über eine Upload-Funktion. Damit gehört die Website dem Angreifer.
- 14 sind SQL-Injections: Angreifer lesen die Datenbank aus – Benutzer, Passwort-Hashes, Kundendaten.
- 28 brauchen keine Anmeldung. Solche Lücken werden automatisiert gesucht; eine kleine Website ist dafür kein zu kleines Ziel.
- Betroffen sind verbreitete Erweiterungen: Seitenbaukästen, Formulare, Kalender, Shops, Download-Bereiche und der Editor JCE.
So schützen Sie Ihre Joomla-Website
- Updates zeitnah einspielen – Joomla zeigt verfügbare Updates im Backend an. Vorher ein Backup.
- Ungenutzte Erweiterungen entfernen, nicht nur deaktivieren.
- Registrierungen und Rechte prüfen: Einige Lücken brauchen nur ein einfaches Benutzerkonto. Wer keine Registrierung braucht, schaltet sie ab.
- Die Liste verwundbarer Erweiterungen (VEL) des Joomla-Projekts im Blick behalten: Dort stehen Erweiterungen, für die es noch keine Korrektur gibt.
- Joomla selbst aktuell halten – welche Version noch Updates bekommt, steht in der Übersicht aller Joomla-Versionen.
- Auch PHP zählt: Zur aktuellen kritischen PHP-Lücke steht alles im Beitrag Kritisches PHP-Sicherheitsupdate am 21. Oktober 2026.
Updates nicht selbst im Blick behalten? Im Joomla Wartungsvertrag spielen wir Joomla- und Erweiterungs-Updates für Sie ein – mit Backups und Sicherheitschecks, ab 30 € netto im Monat.
Wartungsvertrag ansehen
