SP Page Builder: kritische Lücke im Icon-Upload (CVE-2026-48908)

SP Page Builder von JoomShaper ist einer der verbreitetsten Seitenbaukästen für Joomla. Die Lücke CVE-2026-48908 trägt den Schweregrad 10.0 von 10 und steht im Katalog der US-Behörde CISA für nachweislich aktiv ausgenutzte Schwachstellen. Das ist die höchste Dringlichkeitsstufe, die es gibt.

Was passiert ist

Die Funktion zum Hochladen eigener Icons prüfte zwei Dinge nicht: ob der Aufrufer angemeldet und berechtigt ist, und welchen Dateityp er hochlädt. Beides zusammen bedeutet, dass ein beliebiger Besucher aus dem Internet eine PHP-Datei in ein öffentlich erreichbares Verzeichnis legen und sofort ausführen konnte.

Es war kein Konto nötig, keine besondere Konfiguration und keine Mitwirkung eines Nutzers. Jede Installation mit einer betroffenen Version war im Standardzustand angreifbar.

Betroffene und sichere Versionen

• Betroffen: alle Versionen von 1.0.0 bis einschließlich 6.6.1
• Sicher ab: 6.6.2, veröffentlicht am 14. Juni 2026

Das Update stellt drei Prüfungen wieder her: eine angemeldete Sitzung, die Berechtigung zur Verwaltung der Komponente und ein gültiges Sicherheitstoken gegen gefälschte Anfragen.

Ihre Version prüfen

Im Joomla-Backend unter System, dann Verwalten, dann Erweiterungen, dort nach SP Page Builder suchen. Alternativ zeigt die Komponente die Version in ihrem eigenen Über-Dialog.

Ohne Backend-Zugang finden Sie die Angabe auf dem Server in administrator/components/com_sppagebuilder/sppagebuilder.xml.

Wenn das Update warten muss

Sinnvoll ist das selten, aber wenn ein Wartungsfenster nötig ist, mildern zwei Maßnahmen das Risiko ab:

• RSFirewall ab 3.3.7 enthält eine Schutzregel gegen die Ausnutzung dieser Lücke.
• Der Backend-Zugang lässt sich auf Server- oder Netzwerkebene einschränken.

Beides ist eine Überbrückung, kein Ersatz. Der angreifbare Endpunkt liegt im Frontend und bleibt erreichbar, solange die alte Version installiert ist.

Anzeichen, dass es schon passiert ist

Weil bei dieser Lücke eine Datei auf dem Server landet, sind die Spuren meist gut auffindbar:

• PHP-Dateien in Upload- und Medienverzeichnissen, oft mit unauffälligen Namen und einem Zeitstempel, zu dem niemand an der Website gearbeitet hat
• Super-User im Backend, die Sie nicht angelegt haben – Adressen mit der Endung @secure.local sind ein sehr verlässliches Zeichen
• auffällige POST-Anfragen an com_sppagebuilder in den Zugriffs-Logs Ihres Hosters
• Weiterleitungen auf fremde Seiten, Spam-Versand oder eine Warnung von Google

Ein wichtiger Punkt zur Erwartungshaltung: Angreifer legen in der Regel mehrere identische Hintertüren an verschiedenen Stellen ab und räumen ihre offensichtlichen Spuren selbst auf. Wer eine Datei findet und löscht, hat oft noch drei übersehen.

Die richtige Reihenfolge

1. Erst auf 6.6.2 oder neuer aktualisieren. Vorher bringt Aufräumen nichts, weil der automatisierte Angriff die Dateien wieder anlegt.
2. Dann bereinigen und anschließend alle Zugangsdaten und Schlüssel rotieren.

Fazit

Eine Version unter 6.6.2 gehört heute aktualisiert, nicht beim nächsten Termin. Die Kombination aus höchstem Schweregrad, fehlender Authentifizierung und bestätigter Ausnutzung lässt keinen Spielraum. Zeigt Ihre Website bereits Symptome, ist das Update nur der erste Schritt – danach folgt die Bereinigung, bei der Ihre Inhalte erhalten bleiben.

Verwandt: Übersicht der Joomla-Sicherheitslücken 2026 und Joomla gehackt: Erste Hilfe.