Kritische Lücken in Joomla-Erweiterungen SP Page Builder aktiv ausgenutzt

Veröffentlicht am 02.08.2026

Wenn Ihre Firmen-Website mit Joomla läuft und Sie eine der Erweiterungen SP Page Builder oder Page Builder CK zum Bau Ihrer Seiten verwenden, sollten Sie diesen Artikel nicht auf morgen verschieben. Seit Mitte Juni 2026 nutzen automatisierte Angreifer zwei kritische Sicherheitslücken in genau diesen Erweiterungen aktiv aus – und zwar reihenweise. Das Ergebnis eines erfolgreichen Angriffs: Die Website wird vollständig übernommen. Angreifer legen versteckte Admin-Konten an, laden Schadcode hoch und können sämtliche gespeicherten Daten stehlen. Die gute Nachricht: Es gibt bereits Patches, und die Absicherung ist in wenigen Minuten erledigt.

Was ist passiert?

Am 10. Juli 2026 veröffentlichte die Cyber Security Agency of Singapore (CSA) eine offizielle Warnung (Alert AL-2026-085) vor der aktiven Ausnutzung zweier kritischer Schwachstellen in populären Joomla-Erweiterungen:

• CVE-2026-48908 in SP Page Builder (Hersteller JoomShaper) – betroffen sind alle Versionen vor 6.6.2
• CVE-2026-56290 in Page Builder CK (Hersteller joomlack.fr) – betroffen sind alle Versionen vor 3.6.0

Beide Lücken erhielten den höchstmöglichen Schweregrad: CVSS 9.8 nach Version 3.1 und sogar 10.0 nach der neueren CVSS-Version 4.0. Der CVSS-Score (Common Vulnerability Scoring System) bewertet die Gefährlichkeit einer Schwachstelle auf einer Skala bis 10 – höher geht es nicht.

Die US-Behörde CISA nahm beide Schwachstellen am 7. Juli 2026 in ihren Known-Exploited-Vulnerabilities-Katalog (KEV) auf. Dieser Katalog listet ausschließlich Schwachstellen, deren aktive Ausnutzung in der Praxis bestätigt wurde. US-Bundesbehörden bekamen eine Patch-Frist von nur drei Tagen – ein deutliches Zeichen für die Dringlichkeit.

„Attackers are exploiting critical vulnerabilities in Joomla's SP Page Builder and Page Builder CK extensions to upload malicious files and execute arbitrary code. Patch immediately." – Cyber Security Agency of Singapore (CSA)

Der technische Hintergrund – verständlich erklärt

Beide Lücken beruhen auf demselben Grundfehler: einem ungeschützten Datei-Upload (Fachbegriff CWE-434, „Unrestricted Upload of File with Dangerous Type"), kombiniert mit einer fehlenden Anmelde-Prüfung (CWE-284, „Improper Access Control").

Vereinfacht gesagt: Es gab in beiden Erweiterungen eine Funktion zum Hochladen von Dateien, die nicht prüfte, wer gerade etwas hochlädt und welche Art von Datei das ist. Ein Angreifer musste also weder eingeloggt sein noch ein Passwort kennen. Er konnte einfach eine sogenannte Webshell hochladen – eine kleine Schaddatei im PHP-Format, die dem Angreifer die Fernsteuerung des Servers ermöglicht (RCE, „Remote Code Execution", also das Ausführen von beliebigem Code aus der Ferne).

SP Page Builder (CVE-2026-48908)

Der Angriff läuft über einen Endpunkt mit der Adresse index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon. Dieser sollte eigentlich nur zum Hochladen kleiner Symbol-Grafiken dienen – prüfte aber weder Anmeldung noch Dateityp. Ein Angreifer konnte so eine .php-Datei hochladen, im Browser aufrufen, und der Server führte sie brav aus. Der Patch in Version 6.6.2 erzwingt nun eine Zugangsprüfung: nur eingeloggte Nutzer mit Admin-Berechtigung und gültigem Sicherheits-Token.

Page Builder CK (CVE-2026-56290)

Hier war die einzige Hürde ein sogenanntes Anti-CSRF-Token – ein Sicherheitsmerkmal, das eigentlich verhindern soll, dass Anfragen von fremden Seiten aus abgeschickt werden. Das Problem: Dieses Token ist öffentlich auf den eigenen Seiten der Website auslesbar und stellt daher keine echte Barriere dar. Besonders kritisch: Der Angreifer konnte den Zielordner für den Upload frei wählen und seine Webshell so an beliebiger Stelle platzieren.

Entdeckt wurden beide Lücken vom Sicherheitsforscher Phil Taylor, Gründer von mySites.guru, im Rahmen einer breit angelegten Untersuchung populärer Joomla-Erweiterungen. Er meldete sie verantwortungsvoll an die Hersteller. Seine Einschätzung zur Ursache:

„The vulnerabilities were always there. The difference this month is that somebody was finally looking. […] I was finding one to two critical or high-severity unauthenticated remote code execution flaws every single day, for over a week." – Phil Taylor, mySites.guru

Wer ist betroffen?

SP Page Builder ist eine der meistgenutzten Joomla-Erweiterungen überhaupt: Über 13,6 Millionen Downloads und rund 792.000 Nutzer weltweit (Quelle: JoomShaper). Page Builder CK ist eine weit verbreitete kostenlose Alternative. Joomla selbst betreibt laut W3Techs (Stand 1. August 2026) rund ein Prozent aller Websites weltweit – etwa eine Million Seiten.

Für deutsche KMU ist die Lage besonders relevant, weil Joomla in Deutschland traditionell stark verbreitet ist und viele mittelständische Unternehmen ihre Websites damit betreiben. Erschwerend kommt hinzu: 53,7 % aller Joomla-Installationen laufen noch auf der veralteten Version 3, was das Einspielen von Updates häufig verkompliziert.

Wichtig zu verstehen: Die Angriffe laufen vollautomatisch durch Bots, die das Internet gezielt nach verwundbaren Installationen absuchen. Niemand hat es persönlich auf Ihre Firma abgesehen – aber jede verwundbare Website ist ein Ziel. Beide Lücken wurden bereits innerhalb von Stunden nach Veröffentlichung der Patches aktiv ausgenutzt.

So prüfen Sie, ob Sie betroffen sind

1. Ist die Erweiterung installiert? Prüfen Sie im Joomla-Backend unter „Erweiterungen > Verwalten", ob „SP Page Builder" oder „Page Builder CK" vorhanden ist. Alternativ per FTP nach den Ordnern /components/com_sppagebuilder/ bzw. /components/com_pagebuilderck/ suchen.
2. Welche Version läuft? Unter „System > Update > Erweiterungen" die installierte Version ablesen. Verwundbar sind: SP Page Builder vor 6.6.2 sowie Page Builder CK vor 3.6.0 (bzw. 3.4.10 unter Joomla 4 und 3.1.1 unter Joomla 3).
3. Verdächtige Admin-Konten (SP Page Builder): Unter „Benutzer > Verwalten" alle Super-Administrator-Konten prüfen. Verdächtig sind vom Angreifer angelegte Konten mit E-Mail-Adressen der Domain @secure.local (etwa webeditor48@secure.local).
4. Webshells suchen (SP Page Builder): Per FTP/SSH nach unbekannten .php-Dateien suchen in /media/com_sppagebuilder/assets/, /images/ und /media/ samt Unterordnern. Verdächtige Dateien enthalten oft Strings wie „PHP File manager".
5. Webshells suchen (Page Builder CK): Nach unbekannten .php-Dateien suchen unter /media/com_pagebuilderck/ (besonders /gfonts/), außerdem in /images/, /media/, /templates/ und /administrator/. Bekannte Webshell: bhup.php mit dem Inhalt $_POST["_upl"] == "Upload".
6. Server-Logs prüfen: In den Apache-/Nginx-Zugriffslogs nach POST-Anfragen an index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon suchen.
7. Datenbank prüfen: In den Tabellen #__users und #__user_usergroup_map auf unbekannte Super-User-Einträge achten.
8. Cron-Jobs prüfen: Mit crontab -l auf unbekannte Einträge kontrollieren – Angreifer richten dort gerne Persistenz ein.

Das müssen Sie jetzt tun

Der Sicherheitsforscher Phil Taylor bringt die Reihenfolge auf den Punkt: „Update to 6.6.2 before you do anything else, then check whether you were already hit." Also: erst patchen, dann auf Kompromittierung prüfen.

1. SOFORT aktualisieren: SP Page Builder auf Version 6.6.2 oder höher (erschienen am 20. Juni 2026), Page Builder CK auf Version 3.6.0 oder höher (erschienen am 27. Juni 2026). Beide Updates sind kostenlos und lassen sich über „System > Update > Erweiterungen" einspielen.
2. Falls sofortiges Update nicht möglich: Eine WAF-Regel (Web Application Firewall) einrichten, die POST-Anfragen an den Task asset.uploadCustomIcon blockiert. Achtung: Der Punkt im Task-Namen kann URL-kodiert als %2e übermittelt werden – die Regel muss beide Varianten abdecken. Bei Page Builder CK schützt bloßes Deaktivieren nicht zuverlässig; hier ist das Update die einzige verlässliche Lösung.
3. Unbekannte Admin-Konten löschen, besonders solche mit @secure.local-Adressen.
4. Gefundene Webshells entfernen (Muster: „PHP File manager", $_POST["_upl"]).
5. Alle Zugangsdaten rotieren: Admin-Passwörter, Datenbankpasswort (in configuration.php aktualisieren), FTP-/SSH-Zugänge sowie API-Keys ändern.
6. Joomla-Core neu installieren über „System > Update > Joomla", um eventuell manipulierte Kerndateien zu ersetzen.
7. Alle aktiven Sitzungen beenden („Benutzer > Sitzungen verwalten").
8. PHP-Ausführung in Upload-Ordnern deaktivieren: in der .htaccess (Apache) mit php_flag engine off oder in der Nginx-Konfiguration mit location ~* /(images|media)/.*\.php { deny all; }.
9. WAF einrichten (z. B. Akeeba Admin Tools, Sucuri oder Cloudflare WAF).
10. Backups prüfen: Stellen Sie sicher, dass saubere Sicherungen aus der Zeit vor Mitte Juni 2026 existieren. Bei bestätigter Kompromittierung ist die Wiederherstellung aus einem sauberen Backup oft der sicherste Weg.
11. Weitere Erweiterungen aktualisieren: Auch JCE Editor, das Helix-Template-Framework und andere populäre Erweiterungen prüfen – im selben Zeitraum wurde eine ganze Welle von Schwachstellen entdeckt.
12. Monitoring einrichten: Benutzerliste und Datei-Integrität regelmäßig überwachen.

Einordnung: Warum das mehr als ein technisches Problem ist

Zwischen Mitte Juni und Ende Juli 2026 entdeckte mySites.guru insgesamt 19 kritische Schwachstellen in 17 populären Joomla-Erweiterungen, fünf davon mit dem Höchstwert CVSS 10.0. Die Angriffswelle traf nicht nur einzelne Betreiber: Ein betroffener Joomla-Dienstleister berichtete im JoomShaper-Forum von internen Kosten von über 20.000 Euro allein für die Bereinigung kompromittierter Kundenwebsites.

Kritik gab es auch an der Kommunikation der Hersteller. Eine langjährige JoomShaper-Kundin schrieb im Forum: „This is a global problem yet I have not received even one notice from JoomShaper about this. That is absolutely NOT acceptable." Die Lehre daraus: Verlassen Sie sich nicht darauf, aktiv über Sicherheitsprobleme informiert zu werden – prüfen Sie regelmäßig selbst.

DSGVO: Diese Pflichten kommen auf Sie zu

Wird durch einen solchen Angriff auf personenbezogene Daten zugegriffen – etwa Kundendaten, Kontaktformular-Einträge oder E-Mail-Adressen –, hat das erhebliche datenschutzrechtliche Folgen:

• Meldepflicht (Art. 33 DSGVO): Sind personenbezogene Daten betroffen, muss der Vorfall unverzüglich und möglichst binnen 72 Stunden nach Kenntnis an die zuständige Datenschutzbehörde gemeldet werden.
• Benachrichtigungspflicht (Art. 34 DSGVO): Bei hohem Risiko für die Betroffenen müssen diese direkt informiert werden.
• Haftung und Bußgeld: Das Nichteinspielen bekannter kritischer Patches kann als Verletzung von Art. 32 DSGVO (Sicherheit der Verarbeitung) gewertet werden. Verstöße können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
• Dokumentationspflicht (Art. 33 Abs. 5 DSGVO): Auch ohne Meldepflicht müssen Sicherheitsvorfälle intern dokumentiert werden.

Bei Verdacht auf Kompromittierung sollten Sie umgehend Ihren Datenschutzbeauftragten hinzuziehen und den Vorfall sauber dokumentieren.

Fazit

Zwei Schwachstellen mit dem maximalen Schweregrad, aktiv ausgenutzt durch automatisierte Bots, in zwei der meistgenutzten Joomla-Erweiterungen: Das ist eine der klareren Handlungsaufforderungen, die es in der Website-Sicherheit gibt. Die Patches sind seit Juni 2026 verfügbar und kostenlos. Wer SP Page Builder oder Page Builder CK einsetzt, sollte jetzt zwei Dinge tun – in dieser Reihenfolge: updaten und anschließend prüfen, ob die Website bereits kompromittiert wurde. Denn die Angreifer hinterlassen versteckte Admin-Konten und Backdoors; eine einmal übernommene Website kann auch nach dem Patchen unter fremder Kontrolle bleiben. Nehmen Sie sich die 30 Minuten – sie sind deutlich günstiger als ein DSGVO-Verfahren oder die Bereinigung eines gehackten Servers.