Veröffentlicht am 11.07.2026
Ein einziger, nicht angemeldeter Besucher genügt – mehr braucht es nicht, um einen Joomla-Server vollständig zu übernehmen. Am 10. Juli 2026 hat die US-amerikanische Cybersicherheitsbehörde CISA zwei weitere Joomla-Erweiterungen in ihren KEV-Katalog aufgenommen, das Verzeichnis der „Known Exploited Vulnerabilities“ – also der Schwachstellen, die nachweislich bereits von Angreifern ausgenutzt werden. Betroffen sind zwei sehr weit verbreitete Extensions: iCagenda (eine Kalender- und Veranstaltungskomponente) und Balbooa Forms (ein Drag-and-Drop-Formular-Builder). Beide Lücken erhalten den maximal möglichen Schweregrad – CVSS 10.0 von 10.0 – und beide erlauben unauthentifizierten Angreifern, beliebige Dateien inklusive ausführbarer PHP-Skripte hochzuladen. Das Ergebnis ist die vollständige Kontrolle über den Webserver.
Für deutsche Unternehmen ist das besonders brisant: Deutschland ist laut technologychecker.io das Land mit der weltweit höchsten Joomla-Nutzungsrate – rund 17 % aller dort erfassten Unternehmen (etwa 11.612 Firmen) setzen das CMS ein. Wenn Sie eine Joomla-Website mit einer dieser beiden Erweiterungen betreiben, sollten Sie diesen Artikel nicht bis zum Wochenende liegen lassen.
CISA hat zwei Schwachstellen mit eigenen Kennnummern (CVE-IDs) in ihren Katalog aktiv ausgenutzter Lücken aufgenommen:
Beide Schwachstellen sind vom selben Typ, in der Fachsprache CWE-434 – „Unrestricted Upload of File with Dangerous Type“, also der ungeprüfte Upload gefährlicher Dateitypen. In beiden Fällen konnten Angreifer über ein öffentlich erreichbares Formular eine sogenannte Webshell (ein PHP-Skript, das dem Angreifer Fernsteuerung über den Server gibt) hochladen und anschließend direkt ausführen. Der Angriffsvektor ist netzwerkbasiert, erfordert weder ein Login noch eine Benutzerinteraktion – daher der maximale CVSS-Wert von 10.0.
Beide Lücken wurden als sogenannte Zero-Days ausgenutzt, also bereits bevor es überhaupt einen Patch gab. Entdeckt wurden beide vom Sicherheitsforscher Phil Taylor von mySites.guru – jeweils, weil ein Kunde ein Zugriffsprotokoll mit Anzeichen eines laufenden Angriffs vorlegte.
Die iCagenda-Lücke wurde am 15. Juni 2026 entdeckt. Ein automatisierter Angriffs-Scanner, der sich selbst als „icagenda-batch/1.0“ zu erkennen gab, durchsuchte das Internet bereits aktiv nach verwundbaren Installationen. Der Fehler steckte im Frontend-Formular zur Veranstaltungseinreichung: Der Upload-Handler prüfte weder, ob der Nutzer eingeloggt war, noch ob die hochgeladene Datei einen zulässigen Typ hatte.
Technisch gesehen erfolgte die Zugangsprüfung nur in der Anzeige-Komponente (der „View“), nicht aber im verarbeitenden Controller. Da Joomla auch für anonyme Besucher gültige Sitzungs-Tokens ausstellt, konnte ein Angreifer ein solches Token von einer beliebigen öffentlichen iCagenda-Seite abgreifen und direkt an den Verarbeitungs-Endpunkt senden. Die Datei landete ohne jede Prüfung in images/icagenda/frontend/attachments/. Auf Joomla 6 führte das zu direkter PHP-Ausführung; auf älteren Joomla-Versionen (2.5 bis 5) blockierte der Joomla-Kern zwar den Upload ausführbarer Dateien, aber der grundlegende Autorisierungs-Bypass bestand in allen Versionen.
JoomliC reagierte vorbildlich schnell und veröffentlichte den Patch 4.0.8 noch am selben Tag, gefolgt von 3.9.15 für den Legacy-Zweig am 16. Juni. Im Changelog heißt es unmissverständlich:
„Critical Security release. [CRITICAL] Fixed: a full unauthenticated remote code execution. Automated attacks running since 15 June 2026, 8am UTC.“ – JoomliC
Besonders alarmierend: Am 5. Juli 2026 wurde ein öffentlicher Proof-of-Concept-Exploit auf GitHub veröffentlicht. Damit steht ein funktionierendes Angriffswerkzeug für jedermann frei zur Verfügung – das Risiko für ungepatchte Installationen ist seither massiv gestiegen.
Die Balbooa-Forms-Lücke wurde am 8. Juli 2026 aufgedeckt, nachdem ein Kunde beim Hoster Hetzner eine Missbrauchsmeldung erhalten hatte. Der Upload-Endpunkt index.php?option=com_baforms&task=form.uploadAttachmentFile war ohne jede Authentifizierung, ohne CSRF-Token-Prüfung (ein Schutzmechanismus gegen gefälschte Anfragen) und ohne Dateityp-Whitelist erreichbar. Angreifer konnten PHP-Dateien in das öffentlich zugängliche Verzeichnis images/baforms/uploads/ hochladen und ausführen.
Der Kernfehler: Die Dateiendung wurde aus dem vom Angreifer gelieferten Namen übernommen, nur der Namensteil wurde bereinigt – die gefährliche .php-Endung blieb dabei erhalten. Balbooa reagierte ebenfalls am selben Tag und veröffentlichte am 9. Juli 2026 Version 2.4.1 mit gleich vier Schutzebenen: einer serverseitigen Whitelist erlaubter Dateiendungen, einer MIME-Type-Prüfung, serverseitig generierten Dateinamen und einer CSRF-Token-Prüfung. Ein öffentliches Exploit-Werkzeug wurde für diese Lücke bislang nicht veröffentlicht.
Die Angriffskette ist in beiden Fällen minimal. Ein einzelner HTTP-POST-Request genügt, um eine PHP-Webshell hochzuladen. Ein zweiter Aufruf der Upload-URL führt den Schadcode aus. Danach ist der Server vollständig kompromittiert. Konkret kann ein Angreifer:
configuration.php auslesen,Adrian Culley, Solutions Engineering Lead EMEA bei SafeBreach, fasst das Grundproblem so zusammen:
„CISA's decision to add these flaws to the KEV catalog underlines a pattern we keep seeing: patch windows are shrinking faster than patch cycles can move.“ – Adrian Culley, SafeBreach
Diese Beobachtung deckt sich mit den Zahlen: Laut dem Patchstack State of WordPress Security 2026 werden 58 % aller CMS-Schwachstellen innerhalb von 72 Stunden nach Offenlegung ausgenutzt – die mediane Zeit bis zur Massenausnutzung beträgt nur fünf Stunden.
Betroffen sind alle Joomla-Websites, die eine der beiden Erweiterungen in einer verwundbaren Version installiert haben:
iCagenda ist eine der populärsten Kalender-Extensions im Joomla Extensions Directory (179 Bewertungen, verfügbar in über 40 Sprachen) und wird häufig von Vereinen, Kultureinrichtungen und Veranstaltungsorganisatoren eingesetzt. Balbooa Forms (78 Bewertungen) kommt für Kontakt-, Registrierungs- und Umfrageformulare auf Tausenden von Websites zum Einsatz. Beide sind also alles andere als Nischenprodukte.
Ein wichtiger Hinweis von den deutschsprachigen Joomla-Sicherheitsexperten von website-bereinigung.de zu iCagenda:
„Unpublishing iCagenda in the Joomla admin does not protect the site. The submit endpoint stays reachable and the uploaded files stay both writable and web-served regardless of whether the component is published.“ – website-bereinigung.de
Mit anderen Worten: Die Extension einfach nur zu „deaktivieren“, reicht nicht. Nur ein Update oder die vollständige Deinstallation schützt.
images/icagenda/frontend/attachments/ suchen. Befehl: find images/icagenda/frontend/ -name '*.php' -type f. Jede gefundene PHP-Datei ist ein Alarmsignal.images/baforms/uploads/ nach PHP-Dateien suchen: find images/baforms/uploads/ -name '*.php' -type f.index.php?option=com_icagenda und index.php?option=com_baforms&task=form.uploadAttachmentFile suchen. Verdächtige User-Agents wie „icagenda-batch/1.0“ deuten auf automatisierte Angriffe hin..htaccess-Regel ein, die die PHP-Ausführung blockiert, etwa: <FilesMatch '\.php$'> Require all denied </FilesMatch>. Das verhindert die Ausführung bereits hochgeladener Shells.Shane Barney, CISO bei Keeper Security, bringt die harte Realität auf den Punkt:
„Patch to the fixed versions, audit your file integrity and review admin account lists for anything that shouldn't be there. The hard reality is that by the time patches are available, the vulnerability has often already been exploited.“ – Shane Barney, Keeper Security
Falls Sie Anzeichen für einen erfolgreichen Angriff finden, gehen Sie strukturiert vor:
Ein erfolgreicher Angriff ermöglicht vollständigen Zugriff auf die Joomla-Datenbank – und die enthält typischerweise personenbezogene Daten: Benutzernamen, E-Mail-Adressen, Telefonnummern, Formulareinreichungen wie Kontaktanfragen oder Registrierungen, IP-Adressen und gegebenenfalls Zahlungsinformationen. Das ist eine „Verletzung des Schutzes personenbezogener Daten“ im Sinne von Art. 4 Nr. 12 DSGVO.
Meldepflicht (Art. 33 DSGVO): Sobald Sie Kenntnis von einer solchen Datenpanne erlangen, müssen Sie diese unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutzaufsichtsbehörde melden – in Deutschland ist das die Landesdatenschutzbehörde Ihres Bundeslandes. Bei einem vollständigen Server-Kompromiss ist das Risiko für die Rechte und Freiheiten der Betroffenen in aller Regel gegeben.
Benachrichtigungspflicht (Art. 34 DSGVO): Besteht ein hohes Risiko für die Betroffenen – etwa bei Abfluss von Passwörtern, Zahlungs- oder sensiblen Formulardaten –, müssen zusätzlich die betroffenen Personen benachrichtigt werden.
Bußgeldrisiko: Verstöße gegen die Meldepflicht können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden; bei Verstößen gegen grundlegende Datenschutzpflichten sind es bis zu 20 Millionen Euro oder 4 %. Deutsche Datenschutzbehörden verhängten 2025 mindestens 249 Bußgelder mit einer Gesamtsumme von 46,9 Mio. Euro. Für KMU sind auch kleinere Bußgelder von mehreren tausend bis hunderttausend Euro realistisch – insbesondere, wenn nachgewiesen wird, dass bekannte kritische Updates nicht eingespielt wurden. Denn Art. 25 und Art. 32 DSGVO verpflichten zu geeigneten technischen Schutzmaßnahmen, und das Versäumnis kritischer Sicherheitsupdates kann als Verletzung dieser Pflichten gewertet werden.
Diese beiden Lücken stehen nicht allein. Seit Juni 2026 wurden mindestens fünf Joomla-Extension-Schwachstellen mit CVSS 10.0 in den CISA-KEV-Katalog aufgenommen: CVE-2026-48907 (JCE), CVE-2026-48908 (SP Page Builder), CVE-2026-56290 (Page Builder CK) sowie nun CVE-2026-48939 (iCagenda) und CVE-2026-56291 (Balbooa Forms). Angreifer haben Joomla-Erweiterungen offenkundig als lohnendes Ziel erkannt.
Das eigentliche Problem ist dabei die fehlende Übersicht. Denis Calderone, Principal/CTO bei Suzu Labs, warnt:
„The challenge here is visibility. […] If you run Joomla anywhere in your environment, even a marketing microsite someone spun up three years ago, now's the time to audit what plugins are active and whether they are current.“ – Denis Calderone, Suzu Labs
Für Betreiber von Joomla-Websites mit iCagenda oder Balbooa Forms ist die Lage kritisch. Zwei Schwachstellen mit maximalem Schweregrad, ein trivialer Angriffsweg über einen einzigen Request, aktive Ausnutzung durch automatisierte Scanner und – im Fall von iCagenda – ein frei verfügbarer Exploit: Diese Kombination macht ungepatchte Installationen zu akut gefährdeten Zielen. Die gute Nachricht ist, dass für beide Lücken bereits verifizierte Patches vorliegen (iCagenda 4.0.8 bzw. 3.9.15, Balbooa Forms 2.4.1).
Handeln Sie deshalb heute: Prüfen Sie Ihre Versionen, spielen Sie die Updates ein, kontrollieren Sie Ihre Upload-Verzeichnisse und Admin-Konten auf Spuren eines Angriffs. Und nutzen Sie den Anlass, ein vollständiges Inventar aller auf Ihren Websites installierten Erweiterungen zu erstellen – denn die nächste kritische Extension-Lücke ist bei der aktuellen Angriffswelle nur eine Frage der Zeit.