YOOtheme Pro 5: kritische Sicherheitslücke schon vor dem Update angegriffen – was Joomla-Betreiber jetzt prüfen sollten

Am 21. Oktober 2026 kamen zwei kritische Sicherheitsupdates zusammen: für PHP und für YOOtheme Pro 5. Bei YOOtheme Pro 5 wurde die Lücke bereits angegriffen, bevor das Update erschien. Deshalb reicht das Update allein nicht: Wer YOOtheme Pro 5 einsetzt, sollte auch prüfen, ob seine Website schon vorher angegriffen wurde. Hier lesen Sie, was bekannt ist, was wir am 21. Oktober getan haben und was Sie jetzt prüfen sollten.

Zwei Lücken, zwei Zuständigkeiten

Die beiden Lücken haben nichts miteinander zu tun, und kein Update schließt die jeweils andere.

• YOOtheme Pro ist Teil Ihrer Website. Das Update spielt der Betreiber ein – oder wir im Rahmen des Wartungsvertrags.
• PHP läuft auf dem Server. Auf üblichem Webhosting aktualisiert es der Hoster; nur wer einen eigenen Server betreibt, macht das selbst.

YOOtheme Pro 5: was bekannt ist

• Ankündigung: Am 20. Oktober kündigte YOOtheme ein kritisches Sicherheitsupdate für YOOtheme Pro 5 an, für den 21. Oktober um 16 Uhr. YOOtheme Pro 4 und älter sind laut YOOtheme nicht betroffen.
• Update: YOOtheme Pro 5.0.53 erschien am 21. Oktober am frühen Nachmittag, gut zwei Stunden vor dem angekündigten Termin. Laut YOOthemes Änderungsliste schließt es die Lücke CVE-2026-102785, über die Angreifer ohne Anmeldung Code auf dem Server ausführen konnten.
• Betroffen: YOOtheme Pro 5.0.0 bis 5.0.52 (mySites.guru).

Technische Einzelheiten nennen wir bewusst nicht. Für Betreiber zählt: Version prüfen, aktualisieren, nach Spuren suchen.

PHP: was bekannt ist

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619), über die ebenfalls Code ohne Anmeldung ausgeführt werden kann. PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Alles Weitere steht im Beitrag Kritisches PHP-Sicherheitsupdate am 21. Oktober 2026.

Warum das Update allein nicht reicht

Am Vormittag des 21. Oktober haben wir die ersten Angriffe auf Joomla-Websites mit YOOtheme Pro 5 gesehen – Stunden, bevor das Update erschien. Bei diesen Angriffen legten die Angreifer Dateien ab, über die sie später wiederkommen konnten. Das Update schließt die Lücke, entfernt aber nichts, was vorher abgelegt wurde. Eine solche Website sieht oft ganz normal aus.

Was wir am 21. Oktober getan haben

• Gegen 10 Uhr haben wir die Sicherung aller Websites mit Wartungsvertrag angestoßen.
• Am Vormittag haben wir die ersten Angriffe erkannt und unsere Beobachtung sofort an die zuständigen Stellen im Joomla-Umfeld weitergegeben.
• Gegen 13:30 Uhr haben wir YOOtheme Pro mit seinen Plugins auf den betreuten Websites vorsorglich abgeschaltet, damit die Lücke bis zum Update nicht erreichbar war.
• Gegen 13:50 Uhr, sobald das Update da war, haben wir es eingespielt und YOOtheme Pro wieder eingeschaltet.
• Seitdem prüfen wir alle Websites mit Wartungsvertrag erneut auf Spuren eines Angriffs.

Checkliste: Was Sie jetzt prüfen sollten

1. YOOtheme-Version: im Joomla-Backend unter System → Verwalten → Erweiterungen, Suche „YOOtheme“. Es muss 5.0.53 oder neuer sein.
2. PHP-Version: unter System → Systeminformationen. Sicher sind 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer. Sonst beim Hoster nachfragen.
3. Fremde Dateien: PHP-Dateien in Ordnern, in die nur Bilder und Uploads gehören (etwa images), und Dateien, die seit dem 21. Oktober neu sind oder sich geändert haben, ohne dass jemand von Ihnen etwas getan hat.
4. Benutzer: neue Konten mit Administrator- oder Super-User-Rechten, die niemand von Ihnen angelegt hat.
5. Website von außen: unbekannte Weiterleitungen, fremde Links oder Texte; in der Google Search Console unter „Sicherheitsprobleme“ nachsehen.
6. Sicherung aufbewahren: eine Sicherung von vor dem 21. Oktober nicht überschreiben lassen.

Wenn Sie etwas finden

• Website sperren: beim Hoster oder per Zugriffsschutz. Joomlas Offline-Modus reicht nicht – abgelegte Dateien bleiben damit aufrufbar.
• Spuren sichern: eine Sicherung im jetzigen Zustand und die Zugriffsprotokolle des Servers, bevor sie automatisch gelöscht werden.
• Bereinigen und alle Zugangsdaten ändern: Datenbank, E-Mail-Konten der Website, Joomla-Konten, FTP und SSH.
• Datenschutz prüfen: Speichert die Website Kundendaten, Anmeldungen oder Formulareingaben, kann eine Datenschutzverletzung vorliegen. Eine Meldung an die Aufsichtsbehörde ist dann in der Regel binnen 72 Stunden nötig (Art. 33 DSGVO). Das ist keine Rechtsberatung.

Und Joomla 3?

Die YOOtheme-Lücke betrifft nur YOOtheme Pro 5; YOOtheme Pro 4, auf dem Joomla-3-Websites laufen, ist laut YOOtheme nicht betroffen. Das Problem bei Joomla 3 ist PHP: Joomla 3 ist für PHP bis 8.0 gebaut, und solche Versionen bekommen vom PHP-Projekt keine Updates mehr. Geschützt ist eine solche Website nur, wenn der Hoster selbst nachbessert. Der dauerhafte Weg ist der Umstieg auf Joomla 6.

Quellen: YOOthemes Änderungsliste zu YOOtheme Pro 5.0.53 vom 21. Oktober 2026, betroffene Versionen laut mySites.guru, Sicherheitsmeldung des PHP-Teams auf php.net, eigene Beobachtungen vom 21. Oktober 2026. Stand: 22. Oktober 2026 – wir ergänzen den Beitrag, wenn es Neues gibt.