Eine gravierende Joomla Sicherheitslücke bedroht derzeit tausende Websites. Gleich zwei beliebte Page-Builder-Erweiterungen enthalten kritische Zero-Day-Schwachstellen mit dem CVSS-Höchstwert 10.0. Beide werden bereits aktiv ausgenutzt. Die US-Behörde CISA hat sie deshalb in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Wer eine betroffene Erweiterung einsetzt, sollte jetzt handeln.
Die Joomla Sicherheitslücke im Detail
Konkret geht es um zwei Schwachstellen. Die erste, CVE-2026-48908 (CVSS 10.0), steckt im weit verbreiteten SP Page Builder von JoomShaper. Sie erlaubt es nicht authentifizierten Angreifern, beliebige Dateien hochzuladen. Am Ende landet ausführbarer PHP-Code auf dem Server. Der Angriff erfolgt ueber einen einfachen HTTP-POST-Request an den Endpunkt index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon. Danach taucht in der Regel ein neuer Super-User-Account auf.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Die zweite Lücke, CVE-2026-56290 (ebenfalls CVSS 10.0), betrifft die Erweiterung PageBuilder CK. Auch hier führt ein unzureichend geschützter Datei-Upload zu Remote-Code-Ausführung. Angreifer platzieren darüber eine sogenannte Web-Shell und übernehmen so die Kontrolle über die Seite.
Aktive Ausnutzung seit Ende Juni
Die Angriffe laufen bereits. Laut den Sicherheitsforschern von mySites.guru wurde CVE-2026-48908 als Zero-Day ausgenutzt, also noch bevor ein offizieller Patch verfügbar war. Für CVE-2026-56290 verzeichneten Website-Betreiber ab dem 27. Juni 2026 erste Angriffsversuche. Dabei wurde beispielsweise eine Web-Shell unter /media/com_pagebuilderck/gfonts/bhup.php abgelegt.
Besonders tückisch: Angreifer können den Zielordner frei wählen. Eine untergeschobene PHP-Datei kann also überall liegen, nicht nur in den üblichen Upload-Verzeichnissen. Deshalb lohnt sich eine gründliche Prüfung.
So schützt du deine Website jetzt
Der wichtigste Schritt ist das Update. JoomShaper hat die Lücke in SP Page Builder 6.6.2 geschlossen. PageBuilder CK ist ab Version 3.6.0 abgesichert. Betroffene Betreiber sollten außerdem folgende Punkte prüfen:
- Suche gezielt nach unbekannten PHP-Dateien unter
/media/com_pagebuilderck/,/images,/templatesund/administrator. - Kontrolliere die Benutzerliste auf neu angelegte Super-User-Konten.
- Setze kompromittierte Zugangsdaten zurück und rotiere API-Schlüssel.
- Prüfe die Server-Logs auf verdächtige POST-Requests an die genannten Endpunkte.
Auch wenn deine Version bereits aktuell ist, bleibt Wachsamkeit sinnvoll. Denn wer die Lücke vor dem Patch offen hatte, könnte bereits kompromittiert sein. Ähnliche Muster kennen wir aus anderen aktuellen Fällen, etwa der kritischen ColdFusion-Schwachstelle CVE-2026-48282, die ebenfalls binnen Stunden ausgenutzt wurde.
Fazit zur Joomla Sicherheitslücke
Content-Management-Systeme und ihre Erweiterungen bleiben ein beliebtes Ziel. Denn ein einziger verwundbarer Page Builder öffnet Angreifern den Weg zum kompletten Server. Wer schnell patcht und seine Installation kontrolliert, ist auf der sicheren Seite. Zögere also nicht: Aktualisiere noch heute und prüfe deine Website auf Spuren eines Angriffs.
Quellen
- The Hacker News: CISA Adds 4 Actively Exploited Adobe, Joomla, and Langflow Flaws to KEV
- CISA: Adds Three Known Exploited Vulnerabilities to Catalog
- mySites.guru: SP Page Builder Zero-Day uploadCustomIcon RCE
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden