Joomla JCE-Editor: Kritische RCE-Lücke ohne Login (CVE-2026-48907)

Veröffentlicht am 02.08.2026

Drei einfache HTTP-Anfragen. Kein Benutzername, kein Passwort, keine Anmeldung – und ein Angreifer hat vollständige Kontrolle über Ihren Webserver. Genau das ermöglicht eine kritische Sicherheitslücke im Joomla Content Editor (JCE), der meistgenutzten Editor-Erweiterung im Joomla-Ökosystem. Die Schwachstelle trägt die Kennung CVE-2026-48907, erreicht mit einem CVSS-Score von 10.0 den höchstmöglichen Schweregrad und wird nachweislich bereits aktiv und automatisiert ausgenutzt. Betroffen sind schätzungsweise 2,5 Millionen Joomla-Installationen weltweit – und Deutschland ist mit Abstand das am stärksten betroffene Land.

Wenn Sie eine Joomla-Website betreiben und den JCE-Editor einsetzen, sollten Sie diesen Artikel nicht bis zum Wochenende liegen lassen. Wir erklären, was passiert ist, ob Sie betroffen sind und was Sie jetzt konkret tun müssen.

Was ist passiert?

Der Joomla Content Editor – kurz JCE – ist eine Erweiterung, mit der Redakteure Inhalte in Joomla komfortabel bearbeiten, formatieren und Dateien hochladen können. Er ist die am häufigsten installierte Editor-Erweiterung im gesamten Joomla-Umfeld. Genau diese enorme Verbreitung macht die entdeckte Lücke so gefährlich.

Am 3. Juni 2026 veröffentlichte der Hersteller Widget Factory einen kritischen Notfall-Patch. Der Grund: In allen JCE-Versionen von 1.0.0 bis einschließlich 2.9.99.4 lässt sich über einen bestimmten Endpunkt – die Profil-Import-Funktion (com_jce&task=profiles.import) – von außen und ohne jede Anmeldung beliebiger PHP-Code auf den Server hochladen und ausführen. Fachleute sprechen von einer unauthentifizierten Remote-Code-Execution (RCE) – also der Möglichkeit, aus der Ferne fremden Programmcode auf einem Server auszuführen, ohne sich überhaupt einloggen zu müssen.

Das Ergebnis eines erfolgreichen Angriffs: eine sogenannte Webshell – ein kleines Schadprogramm, mit dem der Angreifer den Server fernsteuern kann. Von dort aus sind Datendiebstahl, Spam-Versand, Ransomware oder das Vordringen zu weiteren Systemen im selben Hosting-Umfeld möglich.

Der technische Hintergrund – verständlich erklärt

CVE-2026-48907 ist keine einzelne Schlamperei, sondern eine Verkettung aus drei unabhängigen Fehlern, die zusammen den Angriff überhaupt erst ermöglichen. Das Vulnerability-Research-Team von YesWeHack fasst es treffend zusammen:

„CVE-2026-48907 ist das Ergebnis einer verketteten Design-Schwäche im JCE-Profil-Import: fehlende Autorisierung, unzureichende Dateiprüfung und deaktivierte Upload-Sicherheit. Zusammen erlauben sie unauthentifizierten Angreifern, beliebigen PHP-Code über das /tmp-Verzeichnis hochzuladen und auszuführen. Kein Session-Cookie. Kein Benutzername. Kein Passwort. Drei HTTP-Requests.“ (YesWeHack, Patch-Analyse vom 12. Juni 2026)

Die drei Fehler im Einzelnen:

• Fehlende Authentifizierung: Der Import-Endpunkt prüfte lediglich ein sogenanntes CSRF-Token – einen Sicherheitscode, der eigentlich vor gefälschten Anfragen schützen soll. Dieses Token ließ sich jedoch auf jeder öffentlichen Seite auslesen. Eine echte Anmeldeprüfung fand nicht statt.
• Keine Prüfung der Dateiendung: Der Upload-Mechanismus kontrollierte nicht, welche Art von Datei hochgeladen wurde. Selbst eine Datei mit dem Namen shell.xml.php passierte die Prüfung ungehindert.
• Bewusst abgeschaltete Sicherheitsfunktion: Joomlas eigene Schutzfunktion, die gefährliche Dateiendungen wie .php normalerweise blockiert, wurde ausdrücklich deaktiviert.

Der Angriff läuft in nur drei Schritten ab: Der Angreifer ruft die Startseite auf, um das CSRF-Token abzugreifen. Dann lädt er eine getarnte PHP-Datei als vermeintliches „Profil“ hoch, die im öffentlich erreichbaren /tmp-Verzeichnis landet. Anschließend ruft er diese Datei einfach über den Browser auf – und der Schadcode wird ausgeführt. Kein Benutzerkonto, keine Sitzung, keine besondere Konfiguration nötig.

Wer ist betroffen?

Betroffen sind alle Joomla-Websites, die den JCE-Editor in einer Version vor 2.9.99.5 einsetzen. Und das sind sehr viele.

Besonders alarmierend für hiesige Unternehmen: Deutschland führt die weltweite Joomla-Nutzung an. Laut TechnologyChecker.io sind 17 bis 24,5 Prozent aller erfassten Joomla-Unternehmen in Deutschland ansässig – rund 11.612 Unternehmen. Und: 85 Prozent der Joomla-Nutzer weltweit sind Kleinstunternehmen mit bis zu zehn Mitarbeitern – also genau jene Betriebe, die selten eine eigene IT-Sicherheitsabteilung oder regelmäßige Patch-Zyklen haben.

Phil Taylor von der Analyse-Plattform mysites.guru bringt das Risiko auf den Punkt:

„JCE läuft auf mehr Joomla-Seiten als jede andere Editor-Erweiterung. Wenn ein unauthentifizierter JCE-Datei-Upload-Fehler auf eine lange Reihe von Installationen trifft, die niemand aktualisiert hat, bekommt man massenhafte, automatisierte, opportunistische Kompromittierungen.“

Dass die Gefahr real ist, bestätigen mehrere unabhängige Stellen. Die US-Sicherheitsbehörde CISA nahm die Lücke am 16. Juni 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) auf und setzte US-Bundesbehörden eine Frist von nur drei Tagen – eines der kürzesten je gesetzten Patch-Fenster überhaupt. Auch das belgische Centre for Cybersecurity Belgium (CCB) und SecurityWeek warnten vor aktiver Ausnutzung in freier Wildbahn. Öffentlicher Exploit-Code ist verfügbar, die Angriffe laufen automatisiert.

So prüfen Sie, ob Sie betroffen sind

Gehen Sie diese Schritte durch – idealerweise sofort:

1. JCE-Version prüfen: Im Joomla-Backend unter Erweiterungen → Verwalten → Verwalten nach „JCE“ suchen. Alternativ unter Komponenten → JCE Editor → Systemsteuerung die Versionsnummer ablesen. Alles vor 2.9.99.5 ist verwundbar.
2. Auf fremde Profile prüfen: Unter Komponenten → JCE Editor → Editor-Profile alle vorhandenen Profile durchsehen. Unbekannte Profile mit automatisch generierten Namen, ungewöhnlichen Upload-Rechten oder Freigabe für öffentliche Benutzergruppen sind ein deutliches Warnsignal.
3. Verdächtige PHP-Dateien suchen: Durchsuchen Sie Upload-Verzeichnisse wie /images/, /media/ und /tmp/ nach PHP-Dateien, die dort nicht hingehören. Auf Linux-Servern hilft der Befehl:
   find images/ tmp/ media/ -name '*.php' -mtime -90 -ls
4. Server-Logs analysieren: Suchen Sie in den Zugriffsprotokollen nach Anfragen an den betroffenen Endpunkt. Beispiel:
   grep 'com_jce.*task=profiles.import' /var/log/apache2/access.log
   Der früheste Treffer zeigt, wann ein Angriff erstmals stattfand.
5. Kostenloser Sicherheits-Audit: Das Tool mysites.guru bietet unter mysites.guru/free-audit/ einen kostenlosen Audit an, der fremde JCE-Profile und hochgeladene Webshells erkennt.
6. Dateivergleich: Vergleichen Sie Ihre JCE-Dateien per Prüfsumme mit einer sauberen Referenzinstallation. Unerwartete Änderungen können auf eingebaute Hintertüren hinweisen.

Das müssen Sie jetzt tun

Wichtig vorab: Ein Update allein reicht nicht, wenn Ihre Seite bereits kompromittiert wurde. Der Patch schließt die Tür für zukünftige Angriffe – entfernt aber nicht, was ein Angreifer möglicherweise schon hinterlassen hat. Der Hersteller stellt das unmissverständlich klar:

„Die Schwachstelle wird aktiv ausgenutzt, funktionierender Exploit-Code ist öffentlich, und die Angriffe sind automatisiert – eine Seite ohne öffentliche Registrierung ist also nicht sicher. Das Update schließt den Eintrittspunkt, säubert aber keine bereits kompromittierte Seite. Wenn Sie vor dem Update getroffen wurden, entfernt das Update nicht, was der Angreifer hinterlassen hat.“ (Widget Factory / JCE-Hersteller)

Gehen Sie in dieser Reihenfolge vor:

1. Sofort aktualisieren: JCE auf Version 2.9.99.10 (mindestens aber 2.9.99.5) aktualisieren. Update über System → Update → Extensions → JCE → Update. Bei JCE Pro tragen Sie zunächst Ihren gültigen Subscription-Key unter Komponenten → JCE Editor → Optionen → Subscription Key ein.
2. Beweissicherung anlegen: Erstellen Sie vor jeder Bereinigung ein vollständiges Backup von Dateisystem, Datenbank und Server-Logs. Dieses Backup dient der Beweissicherung – nicht als vertrauenswürdige Wiederherstellungsquelle.
3. Kompromittierung prüfen: Server-Logs auf Zugriffe auf den Import-Endpunkt kontrollieren, alle JCE-Profile auf unbekannte Einträge prüfen und Upload-Verzeichnisse auf PHP-Dateien scannen.
4. Fremde Profile und Webshells entfernen: Unbekannte JCE-Profile löschen und alle darüber hochgeladenen Dateien beseitigen.
5. Zugangsdaten rotieren: Ändern Sie sämtliche Passwörter – Joomla-Admin, Datenbank, FTP/SFTP/SSH, Hosting-Panel, API-Schlüssel und SMTP. Auch auf anderen Systemen, wo dieselben Passwörter verwendet wurden.
6. Malware-Scan durchführen: Lassen Sie einen vollständigen serverseitigen Malware-Scan durchführen (viele Hoster nutzen dafür Imunify360 oder Ähnliches).
7. Härten: PHP-Ausführung in Upload-Verzeichnissen deaktivieren (Apache: .htaccess mit php_flag engine off; Nginx: entsprechender location-Block). Eine WAF-Regel für den betroffenen Endpunkt einrichten. Den Admin-Bereich auf VPN- oder Office-IPs beschränken und Mehr-Faktor-Authentifizierung (MFA) aktivieren.
8. Bei bestätigter Kompromittierung: DSGVO-Meldepflicht prüfen und im Zweifel eine vollständige Neuinstallation aus vertrauenswürdigen Quellen erwägen.

Betreiben Sie eine sehr alte JCE-Version (2.7.x, 2.8.x, 2.9.x), die sich nicht auf 2.9.99.x aktualisieren lässt? Dann stellt der Hersteller einen kostenlosen Sicherheitspatch unter joomlacontenteditor.net/downloads/editor/security-patch bereit. Er schließt die Lücke, bringt aber keine zusätzliche Härtung. Ist auch das nicht möglich, sollten Sie JCE komplett deinstallieren.

DSGVO: Warum das nicht nur ein technisches Problem ist

Für deutsche KMU hat eine mögliche Kompromittierung eine handfeste rechtliche Dimension. Wenn durch einen Angriff personenbezogene Daten – etwa aus Kontaktformularen, Shops oder Mitgliederbereichen – zugänglich wurden oder werden konnten, greifen die Vorgaben der DSGVO:

• Meldepflicht (Art. 33 DSGVO): Datenpannen müssen binnen 72 Stunden nach Kenntniserlangung der zuständigen Landesdatenschutzbehörde gemeldet werden. Bei Websites mit gespeicherten Daten ist ein solches Risiko regelmäßig anzunehmen.
• Benachrichtigung der Betroffenen (Art. 34 DSGVO): Bei hohem Risiko – etwa beim Abfluss von Zahlungs- oder Gesundheitsdaten – müssen auch die betroffenen Personen informiert werden.
• Stand der Technik (Art. 32 DSGVO): Das Unterlassen eines verfügbaren, kritischen Sicherheitsupdates kann als Verstoß gegen die Pflicht zu angemessenen Sicherheitsmaßnahmen gewertet werden.
• Dokumentationspflicht (Art. 33 Abs. 5 DSGVO): Auch wenn keine Meldung nötig ist, müssen Sie den Vorfall dokumentieren.

Bußgelder nach Art. 83 DSGVO können bei unzureichenden Sicherheitsmaßnahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen. Zuständig ist jeweils die Datenschutzbehörde Ihres Bundeslandes.

Einordnung: Warum die Geschichte sich zu wiederholen droht

Sven Kessel von RheinMainTech, der die Lücke im deutschsprachigen Raum ausführlich analysiert hat, warnt:

„CVE-2026-48907 zeigt, wie schnell eine Erweiterung zur Eintrittsstelle für eine vollständige Serverkompromittierung werden kann. Ein Sicherheitsupdate schließt den bekannten Angriffsweg für zukünftige Versuche. Es entfernt jedoch nicht zwangsläufig bereits angelegte Profile, hochgeladene Dateien oder nachträglich installierte Persistenzmechanismen.“

Ein Blick in die Vergangenheit unterstreicht die Dringlichkeit: Bereits 2012 gab es mit CVE-2012-2902 eine sehr ähnliche unauthentifizierte JCE-Datei-Upload-Lücke. Sie wurde zu einem der meistgenutzten Joomla-Exploits ihrer Zeit – und Websites wurden noch Jahre nach dem Patch kompromittiert, weil unzählige Installationen nie aktualisiert wurden. Genau dieses Szenario droht sich nun zu wiederholen.

Fazit

CVE-2026-48907 ist so kritisch, wie eine Schwachstelle nur sein kann: maximaler CVSS-Score von 10.0, kein Vorwissen und keine Anmeldung nötig, öffentlich verfügbarer Exploit-Code und bestätigte, automatisierte Massenangriffe. Deutschland ist als Land mit der weltweit höchsten Joomla-Nutzung besonders exponiert – und gerade Kleinstunternehmen ohne eigene IT-Abteilung sind gefährdet.

Die Handlungsanweisung ist eindeutig: Aktualisieren Sie JCE noch heute auf Version 2.9.99.10, prüfen Sie anschließend gründlich auf Anzeichen einer bereits erfolgten Kompromittierung – und rotieren Sie im Zweifel alle Zugangsdaten. Ein Update, das erst nächste Woche eingespielt wird, kommt für automatisierte Angriffe möglicherweise zu spät. Handeln Sie jetzt.