Kritische Sicherheitslücke im Joomla-Editor JCE: Was Joomla-Betreiber jetzt tun müssen

Seit Anfang Juni 2026 wird eine kritische Sicherheitslücke im JCE-Editor (Joomla Content Editor) aktiv ausgenutzt. Die als CVE-2026-48907 erfasste Schwachstelle erhielt den maximalen CVSS-Schweregrad von 10.0 und erlaubt es Angreifern, ohne jede Anmeldung Schadcode auf ungepatchte Joomla-Installationen zu schleusen. Auch die offiziellen Joomla-Projektseiten – darunter das Erweiterungsverzeichnis extensions.joomla.org sowie community.joomla.org und certification.joomla.org – wurden in der Folge offline genommen. Wenn Sie eine Joomla-Site betreiben und JCE als Editor einsetzen, sollten Sie jetzt prüfen, in welcher Version JCE bei Ihnen läuft – und gegebenenfalls sofort handeln. webhostone fasst die wichtigsten Fakten zusammen.

Was ist die JCE-Sicherheitslücke und seit wann wird sie ausgenutzt?

JCE ist der mit Abstand am weitesten verbreitete Editor für Joomla. Die Lücke erlaubt es einem nicht angemeldeten Besucher, ein eigenes Editor-Profil in die Joomla-Site zu importieren. Über dieses manipulierte Profil lassen sich PHP- und Textdateien als zulässige Upload-Formate freischalten und die MIME-Validierung umgehen. Im zweiten Schritt lädt der Angreifer eine sogenannte Webshell auf den Server, also eine kleine PHP-Datei, die dauerhaften Fernzugriff ermöglicht. Eine Authentifizierung ist zu keinem Zeitpunkt nötig. Entdeckt und gemeldet wurde die Lücke übrigens durch den deutschen Hoster-Kollegen Uwe Flottemesch (fc-hosting.de) in Zusammenarbeit mit dem Joomla Security Strike Team.

Der Zeitstrahl der Veröffentlichungen ist eng getaktet:

• 3. Juni 2026: Der JCE-Entwickler veröffentlicht Version 2.9.99.5 mit dem ersten Patch.
• 5. Juni 2026: Die Schwachstelle wird offiziell als CVE-2026-48907 publiziert.
• Anfang Juni 2026: Wenige Tage später folgt Version 2.9.99.6 als Härtungs-Release nach einem vollständigen Audit des Editors.
• 9. Juni 2026: Funktionierender Exploit-Code wird auf GitHub veröffentlicht – die Angriffe sind seither vollständig automatisiert und massenhaft.
• 16. Juni 2026: Die US-Sicherheitsbehörde CISA nimmt die Lücke in ihren Katalog der aktiv ausgenutzten Schwachstellen auf und setzt für US-Bundesbehörden eine Frist bis zum 19. Juni.
• 18. Juni 2026: Version 2.9.99.7 erscheint, behebt eine Upload-Regression aus 2.9.99.6 und fügt eine Whitelist für berechtigte Benutzergruppen hinzu. Dies ist die aktuell empfohlene Version.

Wer ist betroffen?

Betroffen sind alle Joomla-Sites, auf denen JCE in einer Version unterhalb von 2.9.99.5 läuft. Konkret:

• JCE 2.7.x und 2.8.x: verwundbar, seit Jahren ohne Updates.
• JCE 2.9.0 bis 2.9.99.4: verwundbar, öffentlicher Exploit-Code verfügbar.
• JCE 2.9.99.5 und 2.9.99.6: die Hauptlücke ist geschlossen, das Update auf 2.9.99.7 wird empfohlen.
• JCE 2.9.99.7: aktuelle Empfehlung des Entwicklers.
• JCE 2.6.x: in der Standardkonfiguration nach Angaben des Entwicklers nicht angreifbar, allerdings unsupported. Da diese Aussage noch nicht unabhängig verifiziert ist und 2.6.x weitere ungepatchte Probleme enthalten kann, sollten Sie eine Migration einplanen.

Wichtig zu wissen: Ein Schutz durch geschlossene Registrierung besteht nicht – die Lücke benötigt keine Anmeldung. Automatisierte Bots scannen das Netz und feuern den Exploit gegen jede erreichbare JCE-Installation, unabhängig von der Größe oder Bekanntheit der Site. Dass die Joomla-Projektsites trotz erfahrener Betreiber kurzzeitig offline gehen mussten, illustriert das deutlich. Reine WordPress-, TYPO3- und Shopware-Installationen sind nicht betroffen, da JCE eine reine Joomla-Erweiterung ist.

Woran erkennen Sie eine Kompromittierung?

Die ersten Angriffswellen hinterließen ein klares, gut erkennbares Muster: ein neues, fremdes Editor-Profil und passende Webshell-Dateien auf dem Server. Prüfen Sie diese Stellen:

• Unbekannte Editor-Profile: maschinell erzeugte Namen wie „J940401" oder „xs94da", auch plakative Bezeichnungen wie „Pwned" mit Beschreibungen wie „RCE via JCE". Diese tauchen ohne entsprechende Aktion eines Administrators auf. Auch Profile, die der Gruppe „Public" (Gäste) zugewiesen sind, sollten misstrauisch machen.
• Auffällige Sortierung: Die manipulierten Profile setzen einen stark negativen Sortierwert, häufig -99999, damit sie alle echten Profile überlagern.
• Skript-Uploads aktiviert: Im Profil sind php, phtml oder txt als zulässige Upload-Formate eingetragen und die MIME-Validierung ist deaktiviert. Achtung: Die alleinige Einstellung allow_php ist nicht das entscheidende Signal – diese regelt nur PHP innerhalb von Artikelinhalten.
• Unerwartete PHP-Dateien: In den Verzeichnissen tmp, media, images oder unter libraries finden sich Dateien, die dort nicht hingehören. Typisch sind versteckte .xml.php-Dropper, verschleierte Codeblöcke nach dem Muster eval(gzinflate(base64_decode(...))) oder kleine Marker-Dateien.
• Eine zweistufige Signatur in den Logs: Im Access-Log eine POST-Anfrage an index.php?option=com_jce&task=profiles.import, direkt gefolgt von einer POST-Anfrage mit method=upload. Beide unauthentifiziert, beide mit HTTP-Status 200.

Wichtige Einschränkung: Seit Mitte Juni 2026 wurde ein veränderter Angriffsvektor beobachtet. In neueren Wellen erstellen Angreifer teilweise kein sichtbares eigenes Profil mehr, sondern missbrauchen die Profile-Upload-Funktion direkt, um Schadcode auf den Server zu schreiben. Eine reine Prüfung der Editor-Profile reicht deshalb nicht mehr aus. Die Site ist erst dann nachweislich sauber, wenn das gesamte Webspace gegen Webshells und verdächtige PHP-Dateien geprüft wurde.

Was tun, wenn die Site noch sauber ist?

Wenn Ihre Joomla-Installation bislang unauffällig ist, sollten Sie zügig folgende Schritte gehen:

1. Im Joomla-Backend unter „Erweiterungen → Verwalten" die installierte JCE-Version prüfen.
2. JCE auf die aktuelle Version 2.9.99.7 aktualisieren. Voraussetzung sind PHP 7.4 oder höher und Joomla 3.9 oder höher. Der Sprung gegenüber 2.9.99.6 ist hier wichtig: Mit 2.9.99.7 hat der Entwickler die Joomla-Mindestversion wieder von 3.10 auf 3.9 abgesenkt, sodass auch Sites mit Joomla 3.9 die aktuelle JCE-Version einspielen können.
3. Falls Ihre Joomla- oder PHP-Version zu alt ist, stellt der JCE-Entwickler einen kostenfreien Sicherheits-Patch für die Versionsreihen 2.7.x, 2.8.x und 2.9.x bereit. Das ist eine Übergangslösung – planen Sie das vollständige Update mittelfristig fest ein.
4. Joomla selbst und alle weiteren Erweiterungen, Templates und Plugins auf den aktuellen Stand bringen.
5. Direkt nach dem Update ein frisches Backup anlegen, damit Sie einen sauberen Wiederherstellungspunkt haben.

Was tun, wenn die Site bereits kompromittiert ist?

Finden Sie ein manipuliertes Profil oder verdächtige Dateien, betrachten Sie die Site als kompromittiert. Das Joomla-Projekt selbst hat dazu eine zentrale Botschaft formuliert, die sich sinngemäß so zusammenfassen lässt: Das Update schließt die Eintrittstür, eine bereits kompromittierte Site wird dadurch aber nicht gereinigt.

Ein Dropper ist nicht das Ende eines Angriffs, sondern der Anfang. Sobald der Angreifer eine Webshell auf dem Server hatte, konnte er weitere Super-Administratoren anlegen, legitime Dateien manipulieren, zusätzliche Hintertüren verstecken oder die gesamte Datenbank kopieren. Das reine Löschen sichtbarer Spuren ist deshalb nicht ausreichend. Wir empfehlen diese Reihenfolge:

1. Eine forensische Sicherung des aktuellen Zustands anfertigen, bevor Sie etwas verändern – als Beweis und zur späteren Analyse.
2. Im Idealfall die Site vorübergehend vom Netz nehmen (HTTP-Sperre, nicht nur Joomla-Offlinemodus), damit der Angreifer keinen Schaden mehr verursacht und Sie nicht gegen einen mitlaufenden Prozess kämpfen.
3. Die manipulierten Editor-Profile und alle gefundenen Webshells entfernen.
4. JCE auf 2.9.99.7 aktualisieren. Ohne diesen Schritt öffnet sich die Lücke nach der Reinigung sofort wieder.
5. Sämtliche administrativen Joomla-Passwörter, API-Schlüssel, FTP- und Datenbank-Zugangsdaten austauschen. Werden identische Passwörter an anderer Stelle genutzt: dort ebenfalls. Aktive Login-Sessions ungültig setzen.
6. Eine vollständige Dateisystem-Prüfung gegen ein nachweislich sauberes Backup durchführen. Achten Sie dabei besonders auf neu angelegte Super-Administratoren, veränderte legitime PHP-Dateien und unbekannte Cronjobs.
7. Im Zweifel die Site aus einem geprüften Backup vor dem mutmaßlichen Angriffszeitpunkt vollständig zurückspielen.

Worauf es jetzt ankommt

Der gemeinsame Nenner aller Empfehlungen ist die Aktualität – des CMS, der Erweiterung und der PHP-Umgebung darunter. JCE 2.9.99.7 setzt PHP 7.4 und Joomla 3.9 voraus. Wer auf einer veralteten PHP-Version festhängt, kann die aktuelle JCE-Version nicht einspielen, und genau diese ungepatchten Installationen sind das Ziel der automatisierten Angriffswellen.

Die Updates an Joomla, JCE und Ihren Erweiterungen liegen in der Verantwortung des Site-Betreibers oder der betreuenden Agentur. webhostone stellt die Server-Infrastruktur in deutschen Rechenzentren bereit, sorgt für die Sicherheit auf Server-Ebene und unterstützt Sie bei hosting-seitigen Fragen mit einem festen Ansprechpartner. Bei Unsicherheiten zur passenden PHP-Version oder zu den Voraussetzungen für ein anstehendes Update melden Sie sich gerne bei unserem Support – wir klären die Rahmenbedingungen mit Ihnen ab, damit Sie das Update sauber einspielen können.

Häufige Fragen

Mein Joomla-Frontend hat keine öffentliche Registrierung. Bin ich trotzdem betroffen?

Ja. Die Lücke benötigt keine Anmeldung. Automatisierte Angriffsbots scannen das gesamte Internet und feuern den Exploit gegen jede erreichbare JCE-Installation, ohne vorher die Registrierungs- oder Sicherheitslage einer Site zu prüfen.

Reicht es, das Update auf JCE 2.9.99.7 einzuspielen?

Nur dann, wenn Ihre Site nachweislich noch nicht kompromittiert wurde. Das Update schließt die Eintrittstür, entfernt aber keine Dateien, Konten oder Veränderungen, die ein Angreifer bereits hinterlassen hat. Auf älteren ungepatchten Sites sollten Sie zusätzlich das gesamte Webspace prüfen – allein auf das Update zu vertrauen, ist in der aktuellen Lage zu wenig.

Reicht es, die fremden Profile und Dateien zu löschen?

Nein. Das Löschen entfernt nur die sichtbaren Symptome. Solange die zugrunde liegende Lücke in JCE nicht geschlossen ist und Sie nicht sicher prüfen, ob weitere Hintertüren angelegt wurden, kann ein Angreifer denselben Zugang erneut nutzen. Patchen Sie JCE, prüfen Sie das gesamte Dateisystem und rotieren Sie sämtliche Zugangsdaten.

Was, wenn ich auf einer alten Joomla- oder PHP-Version festhänge?

Der JCE-Entwickler stellt einen kostenfreien Patch für die Versionsreihen 2.7.x, 2.8.x und 2.9.x bereit. Damit lässt sich die konkrete Lücke schließen, wenn ein vollständiges Update kurzfristig nicht möglich ist. Es bleibt aber eine Übergangslösung – die Migration auf eine aktuelle Joomla- und PHP-Version sollten Sie fest einplanen.

Reicht das Joomla-eigene Update-System aus, um die Lücke zu schließen?

Nur, wenn JCE darüber auch tatsächlich aktualisiert wird. Erweiterungen werden in Joomla unabhängig vom Kern aktualisiert. Prüfen Sie nach jedem Update im Backend, ob die installierte JCE-Version tatsächlich 2.9.99.7 oder höher ist.

Betrifft das auch WordPress, TYPO3 oder Shopware?

Nein. Die Schwachstelle liegt ausschließlich in einer Joomla-Erweiterung. Sites auf WordPress, TYPO3, Shopware oder Contao sind von diesem konkreten Vorfall nicht betroffen.