Joomla-Sicherheitslücken 2026: Diese Erweiterungen werden aktiv angegriffen
Joomla ist 2026 nicht über den Kern angegriffen worden, sondern über Erweiterungen mit öffentlich erreichbaren Upload-Endpunkten. Innerhalb weniger Wochen kamen mehrere Lücken mit dem höchstmöglichen Schweregrad zusammen – vier davon führt die US-Behörde CISA als nachweislich aktiv ausgenutzt.
Das Tückische daran: Bei diesen Lücken braucht ein Angreifer keinen Login und kein Passwort. Ein automatisierter Scanner findet die Website, lädt eine PHP-Datei hoch und führt sie aus. Betroffen sind deshalb auch kleine Websites, die niemand gezielt ins Visier genommen hätte.
Unten finden Sie zu jeder Erweiterung die betroffenen und die sicheren Versionen. Wenn Ihre Website bereits Auffälligkeiten zeigt, hilft die Übersicht nicht mehr weiter – dann geht es um Bereinigung.
- Stand der Angaben: Juli 2026, Quellen sind NVD, CISA KEV und die Hersteller-Advisories
- spezialisiert auf Joomla, nicht WordPress mit Joomla als Nebenfach
- Ersteinschätzung kostenlos, auch wenn Sie nur wissen wollen, ob Sie betroffen sind
Die betroffenen Erweiterungen im Überblick
Entscheidend ist nicht der Name der Lücke, sondern die Versionsnummer, die bei Ihnen installiert ist. Die finden Sie im Backend unter System, Verwalten, Erweiterungen.
JCE Editor – sicher ab 2.9.99.5
CVE-2026-48907, Schweregrad 10.0 von 10. Betroffen sind alle Versionen von 1.0.0 bis 2.9.99.4, Free und Pro. Über den Profil-Import ließen sich ohne Anmeldung Editor-Profile anlegen und darüber PHP-Dateien hochladen und ausführen. Empfohlen ist 2.9.99.9, weil dort zusätzliche Härtungen enthalten sind.
SP Page Builder – sicher ab 6.6.2
CVE-2026-48908, Schweregrad 10.0 von 10, von CISA als aktiv ausgenutzt geführt. Betroffen sind alle Versionen bis einschließlich 6.6.1. Der Upload für eigene Icons prüfte weder Anmeldung noch Dateityp, sodass eine PHP-Datei direkt im öffentlich erreichbaren Verzeichnis landen und sofort ausgeführt werden konnte.
Helix Ultimate – sicher ab 2.2.7
CVE-2026-57829 und CVE-2026-57830, Schweregrade 8.7 und 8.8. Betroffen sind alle Versionen von 1.0 bis 2.2.6. Mehrere AJAX-Aktionen liefen ohne Login-, Rechte- und CSRF-Prüfung. Wichtig: Template und System-Plugin müssen beide aktualisiert werden, empfohlen ist 2.2.8.
iCagenda – sicher ab 3.9.15 oder 4.0.8
CVE-2026-48939, Schweregrad 10.0 von 10, von CISA als aktiv ausgenutzt geführt. Betroffen sind der 3er-Zweig ab 3.2.1 bis vor 3.9.15 und der 4er-Zweig ab 4.0.0 bis vor 4.0.8. Auch hier führte ein Upload ohne Anmeldung zur Ausführung von PHP-Code.
Page Builder CK – sicher ab 3.6.0
CVE-2026-56290, Schweregrad 10.0 von 10, von CISA als aktiv ausgenutzt geführt. Betroffen sind alle Versionen vor 3.6.0. Gleiches Muster: Datei-Upload ohne Authentifizierung, in der Folge Codeausführung auf dem Server.
Balbooa Forms – sicher ab 2.4.1
CVE-2026-56291, Schweregrad 10.0 von 10, von CISA als aktiv ausgenutzt geführt. Betroffen sind alle Versionen vor 2.4.1. Formular-Uploads ohne Prüfung der Anmeldung, mit demselben Ergebnis wie bei den übrigen Fällen.
Details zu den drei häufigsten Fällen
JCE, SP Page Builder und Helix Ultimate stecken in sehr vielen Joomla-Installationen. Zu diesen drei Erweiterungen haben wir aufgeschrieben, wie die Lücke funktioniert, wie Sie Ihre Version prüfen und woran Sie einen Einbruch erkennen:
JCE-Sicherheitslücke: prüfen, patchen, Spuren erkennen
SP Page Builder: kritische Lücke im Icon-Upload
Helix Ultimate: Template und Plugin gemeinsam aktualisieren
Updaten reicht nicht, wenn der Einbruch schon passiert ist
Ein Update schließt die Tür. Es entfernt aber nicht, was vorher hereingekommen ist. Wer wochenlang eine verwundbare Version betrieben hat, sollte deshalb beides tun: patchen und prüfen. Die Reihenfolge ist wichtig – erst patchen, sonst stellt der automatisierte Angriff das Entfernte einfach wieder her.
- im Backend nach Super-Usern suchen, die Sie nicht angelegt haben – Adressen, die auf @secure.local enden, sind ein sehr verlässliches Zeichen
- in Bild- und Upload-Ordnern nach PHP-Dateien suchen, die dort nichts zu suchen haben
- bei JCE zusätzlich die Editor-Profile durchsehen und ein Profil, das Sie nicht kennen, vor dem Löschen sichern
- Zugriffs-Logs des Hosters auf auffällige POST-Anfragen an die betroffenen Komponenten prüfen
- alle Passwörter, Datenbank-Zugänge und Schlüssel rotieren, wenn sich Spuren finden
Warum diese Welle so viele kleine Websites getroffen hat
Es hilft, sich das Vorgehen der Angreifer klarzumachen: Niemand hat sich Ihre Website ausgesucht. Automatisierte Scanner arbeiten öffentliche Listen von Joomla-Installationen ab und probieren die bekannten Endpunkte durch. Weil bei diesen Lücken kein Login nötig ist, entscheidet allein die installierte Versionsnummer über den Ausgang. Eine Vereins- oder Firmenwebsite ohne besonderen Bekanntheitsgrad ist damit genauso betroffen wie ein großes Portal – und Websites, deren Updates seit Monaten liegen bleiben, sind die leichtesten Ziele.
Wir betreuen bewusst nur eine begrenzte Anzahl an Joomla-Projekten laufend, damit Qualität, persönliche Begleitung und verlässliche Reaktionszeiten dauerhaft gewährleistet bleiben.
Häufige Fragen
Wie finde ich heraus, welche Version bei mir installiert ist?
Im Joomla-Backend unter System, dann Verwalten, dann Erweiterungen. Dort können Sie nach dem Namen der Erweiterung suchen und sehen die installierte Version. Wenn Sie keinen Zugang mehr haben, kommen Sie über den Hoster an die Dateien und wir helfen bei der Einordnung.
Ich habe rechtzeitig aktualisiert. Muss ich trotzdem prüfen?
Wenn Sie innerhalb weniger Tage nach Veröffentlichung des Updates aktualisiert haben, ist das Risiko gering. Lag zwischen Veröffentlichung und Ihrem Update mehr Zeit, lohnt sich der Blick auf Benutzerkonten und Upload-Ordner – die Scanner waren teilweise binnen Stunden unterwegs.
Reicht es, die betroffene Erweiterung zu deaktivieren?
Nein, in der Regel nicht. Die Dateien bleiben beim Deaktivieren auf dem Server und die Endpunkte sind teilweise weiter erreichbar. Aktualisieren Sie auf die sichere Version oder deinstallieren Sie die Erweiterung vollständig.
Meine Joomla-Version ist alt und das Update lässt sich nicht einspielen. Was nun?
Das kommt häufiger vor, meist wegen einer zu alten PHP- oder Joomla-Version. Für JCE gibt es vom Hersteller ein kostenloses Patch-Paket für ältere Zweige, das die Lücke schließt, ohne die Erweiterung komplett zu aktualisieren. Das ist aber eine Übergangslösung – sprechen Sie uns an, dann klären wir den sinnvollen Weg.
Meine Website ist schon betroffen. Was kostet die Bereinigung?
490 € netto im Standardfall, also eine Joomla-Installation mit vorhandenem Zugang. Die Erstanalyse ist kostenlos. Ihre Inhalte bleiben erhalten, ein altes Backup brauchen wir nicht.
Können Sie dafür sorgen, dass mir das nicht wieder passiert?
Genau dafür sind unsere Betreuungspakete da. Im Manage Joomla Care schließen wir kritische Lücken sofort statt im nächsten Turnus – bei dieser Welle war das der Unterschied zwischen einem Update am selben Tag und einem Einbruch.
Unsicher, ob Ihre Website betroffen ist? Nennen Sie uns die Domain. Sie erhalten eine kostenlose Einschätzung, welche der betroffenen Erweiterungen bei Ihnen laufen und ob es Anzeichen für einen Einbruch gibt.
