Joomla-Alarm: 13 Extension-Lücken, vier mit CVSS 10.0 aktiv ausgenutzt

Veröffentlicht am 20.07.2026

Ein anonymer Besucher lädt eine PHP-Datei auf Ihre Website hoch – und übernimmt Sekunden später die vollständige Kontrolle über Ihren Server. Kein Login, kein Passwort, keine besonderen Kenntnisse über Ihre Seite nötig. Genau das ist mit einigen der Sicherheitslücken möglich, die der Sicherheitsforscher Phil Taylor von mySites.guru zwischen Mitte Juni und Mitte Juli 2026 in populären Joomla-Erweiterungen aufgedeckt hat. Insgesamt 13 Schwachstellen in 13 verschiedenen Extensions, vier davon mit dem maximal möglichen Bedrohungswert. Vier stehen bereits auf der Liste der nachweislich aktiv angegriffenen Lücken der US-Sicherheitsbehörde CISA. Wenn Sie Joomla betreiben, sollten Sie diesen Artikel bis zum Ende lesen – und danach handeln.

Was ist passiert?

Phil Taylor hat durch systematische Quellcode-Prüfungen der am häufigsten installierten Joomla-Erweiterungen 13 separate Sicherheitslücken gefunden und verantwortungsvoll an die Hersteller gemeldet. Betroffen sind bekannte Extensions aus allen Bereichen des Joomla-Ökosystems: Seitenbaukästen (Page Builder), Template-Frameworks, Formulare, Kalender, Dokumenten-Manager und Newsletter-Komponenten.

Die betroffenen Produkte sind: PageBuilder CK, SP Page Builder, Balbooa Forms, RSFiles!, iCagenda, Phoca Download, AcyMailing, EDocman, DPCalendar, Quix Page Builder, Helix3 und Helix Ultimate. Eine weitere Lücke in einer Events-/Buchungskomponente befindet sich noch in der Meldephase und ist noch nicht öffentlich benannt.

Besonders alarmierend: Alle zwölf bereits gepatchten Lücken haben einen CVSS-Wert zwischen 8,7 und 10,0 – keine einzige ist als niedrig oder mittel eingestuft. Der CVSS-Wert (Common Vulnerability Scoring System) ist eine international standardisierte Skala von 0 bis 10, die den Schweregrad einer Sicherheitslücke bewertet. Vier Lücken erreichen den absoluten Höchstwert von 10,0: PageBuilder CK (CVE-2026-56290), SP Page Builder (CVE-2026-48908), Balbooa Forms (CVE-2026-56291) und RSFiles! (CVE-2026-57827).

„Jede einzelne der zwölf bereits gepatchten Lücken erreichte zwischen 8,7 und 10,0. Das sind keine harmlosen Wartungsprobleme, es sind die gefährlichsten Klassen von Web-Schwachstellen überhaupt: unauthentifizierte Remote-Code-Execution, bei der ein anonymer Besucher eigenen Code auf Ihrem Server ausführt, und unauthentifizierter vollständiger Datenbankzugriff, bei dem ein anonymer Besucher mit jedem Benutzerkonto und Passwort-Hash davonspaziert. Schlimmer wird es kaum.“ – Phil Taylor, mySites.guru

Der technische Hintergrund – verständlich erklärt

Die 13 Lücken lassen sich in vier Gruppen einteilen. Der gemeinsame Nenner: fast alle nutzen einen öffentlich erreichbaren Front-End-Endpunkt, der anonyme Eingaben ohne Prüfung verarbeitet.

1. Datei-Upload mit Fernsteuerung (6 Lücken)

Das ist die gefährlichste Klasse. „Remote Code Execution“ (RCE) bedeutet: Ein Angreifer kann eigenen Programmcode auf Ihrem Server ausführen. Bei diesen sechs Lücken akzeptiert ein öffentlich erreichbarer Bereich der Website Datei-Uploads – ohne Login, ohne Sicherheitstoken (CSRF-Schutz) und ohne Prüfung des Dateityps. Ein Angreifer lädt einfach eine PHP-Datei (ein ausführbares Skript) in einen öffentlich erreichbaren Ordner hoch und ruft sie über einen normalen Web-Aufruf auf. Ergebnis: volle Kontrolle über den Server.

Betroffen sind PageBuilder CK (CVSS 10,0), Balbooa Forms (CVSS 10,0), RSFiles! (CVSS 10,0), SP Page Builder (CVSS 10,0), iCagenda (CVSS 9,8) und Phoca Download (CVSS 9,0). Bei SP Page Builder wurde die Lücke genutzt, um versteckte Administrator-Konten mit E-Mail-Adressen anzulegen, die auf @secure.local enden.

2. Unauthentifizierte SQL-Injection (4 Lücken)

Bei einer SQL-Injection schleust ein Angreifer eigene Datenbankbefehle über einen Eingabewert ein. Weil die betroffenen Endpunkte Eingaben unbereinigt in Datenbankabfragen einbauen, kann ein anonymer Angreifer die komplette Datenbank auslesen – Benutzerkonten, Passwort-Hashes, API-Schlüssel und Sitzungsdaten inklusive. Betroffen: AcyMailing (CVSS 8,7, betrifft auch die WordPress-Version), EDocman (CVSS 8,7), DPCalendar (CVSS 8,7) und Quix Page Builder (CVSS 8,7). Auf dem Testsystem reichte die Datenbankverbindung bei EDocman sogar bis zu allen Datenbanken auf dem gesamten Server.

3. Datei-Schreiben/-Löschen (1 Lücke)

Helix3 (CVE-2026-49049) enthielt einen ungeschützten Zugang, der Datei-Schreiben, Datei-Löschen und das Überschreiben von Template-Parametern erlaubte. Diese Lücke wird bereits durch ein Botnetz für Massen-Verunstaltungen von Websites („Defacement“) missbraucht.

„Eine Schwachstelle im Helix3-Framework von JoomShaper wird durch ein Botnetz ausgenutzt, um Joomla-Instanzen zu infizieren. Dort taucht dann die Meldung ‚Hacked by AntonKill‘ auf. Die CMS-Plattform Joomla steht derzeit sicherheitstechnisch unter Beschuss.“ – Günter Born, Borncity.com

4. Stored-XSS und Sonstige (2 Lücken)

Helix Ultimate enthielt mehrere ungeschützte Aktionen, die unter anderem dauerhaft gespeicherte Schadskripte (Stored-XSS) und Datei-Löschungen ermöglichten. Eine weitere Lücke (CVSS 6,9) in einer Events-/Buchungskomponente ist noch nicht gepatcht.

Ein wichtiger Hinweis für alle, die sich auf ihre Server-Konfiguration verlassen: Alle diese Angriffe laufen über ganz normale HTTP-Aufrufe an index.php. Weil sie wie legitime Anfragen aussehen, werden sie von den üblichen .htaccess-Regeln nicht blockiert.

Wer ist betroffen – und warum gerade Deutschland?

Joomla ist weltweit auf rund 1,2 % aller Websites installiert (W3Techs, Juli 2026) und damit nach WordPress das zweitgrößte Open-Source-Content-Management-System. In Deutschland ist es besonders stark verbreitet: Laut BuiltWith nutzen etwa 129.766 deutsche Websites Joomla. Deutschland führt sogar die weltweite Joomla-Nutzung mit rund 17 % aller Installationen an (TechnologyChecker.io).

Erschwerend kommt hinzu: Laut W3Techs laufen noch 54 % aller Joomla-Sites auf der nicht mehr unterstützten Version 3, nur 5,9 % nutzen die aktuelle Version 6. Diese Alt-Installationen sind grundsätzlich einem erhöhten Risiko ausgesetzt. Viele der betroffenen Extensions – SP Page Builder, Helix3/Helix Ultimate, AcyMailing, Balbooa Forms – gehören zu den meistgenutzten Erweiterungen in Deutschland.

So prüfen Sie, ob Sie betroffen sind

1. Extensions auflisten: Gehen Sie im Joomla-Administrationsbereich zu „Erweiterungen > Erweiterungen verwalten“ und gleichen Sie Ihre installierten Extensions mit der Liste der betroffenen Produkte ab.
2. Versionen vergleichen: Prüfen Sie für jede betroffene Extension die installierte Version gegen die weiter unten genannten Fixversionen. Ist Ihre Version älter, besteht Handlungsbedarf.
3. Joomla-Version prüfen: Läuft Ihre Seite noch auf Joomla 3? Dann sind Sie generell stärker gefährdet.
4. Bei SP Page Builder – Benutzerliste kontrollieren: Prüfen Sie unter „Benutzer > Benutzer verwalten“ auf Super-Administrator-Konten mit E-Mail-Adressen, die auf @secure.local enden. Solche Konten sind ein sicheres Zeichen für eine erfolgte Kompromittierung.
5. Dateisystem auf Webshells prüfen: Suchen Sie in verdächtigen Pfaden nach unerwarteten .php-Dateien. Besonders relevant: /media/com_pagebuilderck/ (bei PageBuilder CK wurde konkret die Webshell /media/com_pagebuilderck/gfonts/bhup.php gefunden), /images/baforms/uploads/ (Balbooa Forms), /images/icagenda/frontend/attachments/ (iCagenda) und /downloads/ (RSFiles!).
6. Zugriffslogs prüfen: Suchen Sie in den Webserver-Logs nach verdächtigen POST-Anfragen an Endpunkte wie index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon, index.php?option=com_baforms&task=form.uploadAttachmentFile oder index.php?option=com_rsfiles.
7. Datenbank prüfen: Falls SQL-Injection-betroffene Extensions installiert waren, prüfen Sie die Tabellen #__users (neue Admin-Konten?), #__extensions (veränderte Parameter?) und #__session.

Das müssen Sie jetzt tun

1. SOFORT aktualisieren – nach Priorität: Zuerst die CVSS-10,0-Extensions: PageBuilder CK 3.6.0, SP Page Builder 6.6.2, Balbooa Forms 2.4.1, RSFiles! 1.17.12. Dann iCagenda 4.0.8/3.9.15 und Phoca Download 6.1.3. Danach die SQL-Injection-Extensions: AcyMailing 10.11.1, EDocman 3.9.0, DPCalendar 10.11.2/8.19.4, Quix Page Builder. Zuletzt Helix3 3.1.1 und Helix Ultimate 2.2.7.
2. Backup zuerst: Erstellen Sie vor jedem Update ein vollständiges Backup von Website und Datenbank.
3. Upload-Verzeichnisse absichern: Legen Sie in /images/, /media/, /downloads/ und /tmp/ eine .htaccess-Datei mit php_flag engine off oder Options -ExecCGI an, um die PHP-Ausführung zu unterbinden. Das ist Schadensbegrenzung, aber kein Ersatz für das Update.
4. Web Application Firewall (WAF) einsetzen: Für die noch ungepatchte Events-/Buchungskomponente ist eine WAF-Regel der einzige verfügbare Schutz. Empfehlenswert: Akeeba Admin Tools (Joomla-native WAF), Cloudflare WAF oder serverseitige ModSecurity-Regeln.
5. Bei Verdacht: Kompromittierung annehmen. War eine der Upload-RCE-Extensions in verwundbarer Version aktiv, leiten Sie Incident-Response ein: Webshells und Backdoors suchen und entfernen, Joomla- und Datenbankpasswörter rotieren, die Secrets in der configuration.php erneuern.
6. Bei SP Page Builder: Löschen Sie alle Super-User-Konten mit @secure.local-E-Mails sofort.
7. Bei SQL-Injection-Lücken: Betrachten Sie alle in der Datenbank gespeicherten Passwort-Hashes als kompromittiert. Fordern Sie Nutzer zur Passwortänderung auf und rotieren Sie API-Schlüssel.
8. Langfristig: Aktivieren Sie automatische Updates für Extensions. Migrieren Sie Joomla 3 (End-of-Life) auf Joomla 4/5/6.

Warum die Eile? Weil das Zeitfenster brutal kurz geworden ist.

„Ein Angreifer kann heute ein Patch-Diff in ein KI-Modell füttern, in Minuten die Lücke verstehen, einen Proof-of-Concept generieren und automatisierte Scanner loslassen – in der Zeit, die man früher fürs Lesen des Changelogs brauchte. Mehrere dieser Lücken wurden innerhalb von Stunden nach Erscheinen des Fixes ausgenutzt. Das Fenster zwischen ‚gepatcht‘ und ‚flächendeckend gejagt‘ wird jetzt in Stunden gemessen, nicht in Wochen. Das ist der wahre Grund, warum ‚ich update am Wochenende‘ eine Verliererstrategie ist.“ – Phil Taylor, mySites.guru

Einordnung: KEV-Katalog und DSGVO

CISA, die US-Cybersicherheitsbehörde, hat vier dieser Lücken in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen: SP Page Builder und PageBuilder CK am 7. Juli 2026, iCagenda und Balbooa Forms am 10. Juli 2026. Ein KEV-Eintrag bedeutet: Die Lücke wird nachweislich aktiv angegriffen. US-Bundesbehörden hatten jeweils nur drei Tage Zeit zum Patchen.

„Ein KEV-Eintrag dokumentiert einen realen Angriff. Das ist ein härteres Patch-Argument als ein hoher CVSS-Wert allein. Formal bindet die CISA-Frist nur US-Bundesbehörden. In der Praxis behandeln viele deutsche Teams den KEV-Katalog längst als Frühwarnsystem.“ – Alec Chizhik, SecurityToday.de

Ihre Pflichten nach der DSGVO

Für deutsche Website-Betreiber sind diese Lücken auch rechtlich brisant:

• Meldepflicht (Art. 33 DSGVO): Kam es zu einem Angriff – oder lässt er sich nicht ausschließen –, müssen Sie die Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 72 Stunden nach Kenntniserlangung, an Ihre zuständige Datenschutzaufsichtsbehörde melden. Bei RCE- und SQL-Injection-Lücken ist ein Risiko für die Betroffenen in aller Regel anzunehmen.
• Benachrichtigungspflicht (Art. 34 DSGVO): Bei hohem Risiko – etwa abgeflossenen Passwort-Hashes oder Zahlungsdaten – müssen auch die betroffenen Personen informiert werden.
• Technische Sicherheitspflicht (Art. 32 DSGVO): Das Nichtinstallieren verfügbarer Sicherheitsupdates kann bereits als Verstoß gewertet werden – unabhängig davon, ob ein Angriff stattgefunden hat. Deutsche Aufsichtsbehörden haben bereits Bußgelder verhängt, etwa 65.500 Euro in Niedersachsen gegen einen Webshop-Betreiber, der seine Software seit 2014 nicht aktualisiert hatte.

Die möglichen Bußgelder reichen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 32) beziehungsweise bis zu 20 Mio. Euro oder 4 % (schwerwiegendere Verstöße). Für ein KMU sind schon fünf- bis sechsstellige Beträge existenzbedrohend.

Fazit

13 kritische Lücken in einem Monat, vier davon mit dem Höchstwert 10,0, vier im KEV-Katalog der CISA – und Deutschland als weltweit führendes Joomla-Land. Diese Kombination macht die Bedrohung für deutsche KMU-Website-Betreiber real und dringend. Taylors bittere Bilanz bringt es auf den Punkt: Die Lücken waren immer da, nur hat bislang niemand hingeschaut. Anders als bei WordPress gibt es für Joomla-Extensions kaum bezahlte Sicherheitsforschung.

Für Sie bedeutet das: Warten Sie nicht auf das Wochenende. Prüfen Sie noch heute, welche der betroffenen Erweiterungen auf Ihrer Seite laufen, und aktualisieren Sie sie unverzüglich nach der genannten Priorität. Erstellen Sie vorher ein Backup, sichern Sie Ihre Upload-Verzeichnisse ab und prüfen Sie Ihre Nutzerliste und Logs auf Anzeichen eines bereits erfolgten Angriffs. Und behalten Sie das Joomla Security Centre sowie den mySites.guru-Blog im Auge – denn eine der 13 Lücken ist noch nicht gepatcht.