Das Joomla-Projekt hat am 18. August die Versionen 5.4.8 und 6.1.3 veröffentlicht und damit zehn Sicherheitslücken geschlossen. Keine davon ist als kritisch eingestuft, fünf gelten als mittelschwer, fünf als gering. Hinweise auf aktive Angriffe gibt es bislang nicht — anders als bei den WordPress-Meldungen der vergangenen Wochen.
Trotzdem lohnt ein zweiter Blick. Denn die Liste hat ein Muster, und das ist unangenehmer als jede einzelne Lücke darin.
Der Schutz galt nicht überall
Fünf der zehn Meldungen drehen sich um Rechteprüfungen. Drei davon betreffen die Programmierschnittstelle, über die sich Joomla von aussen steuern lässt.
Die Beschreibung einer dieser Lücken sagt es unfreiwillig deutlich: Nicht berechtigte Benutzer konnten über die Schnittstelle Änderungen vornehmen, die ihnen im Backend verwehrt waren. Zwei weitere Fälle derselben Bauart: Über die Schnittstelle liessen sich Kategorien und eigene Felder für Komponenten anlegen, auf die der betreffende Benutzer gar keinen Zugriff hatte.
Wer das übersetzt, landet bei einem Satz, den man ungern liest: Die Rechteverwaltung, die man im Backend sorgfältig eingerichtet hat, galt für den Weg über die Schnittstelle nur eingeschränkt. Für eine Website mit einer einzigen Person am Steuer ist das folgenlos. Für eine mit mehreren Redakteuren, abgestuften Rechten und vielleicht einer angebundenen App ist es genau die Annahme, auf der die ganze Konstruktion ruht.
Zwei-Faktor war nicht immer zwei Faktor
Der zweite Fund derselben Sorte betrifft die Zwei-Faktor-Anmeldung. Unzureichende Zustandsprüfungen erlaubten einen Weg, die zweite Stufe zu umgehen.
Das ist die ärgerlichste Art von Lücke: Sie trifft die Vorsichtigen. Wer sich die Mühe gemacht hat, den zweiten Faktor einzurichten, hat damit eine Zusage erhalten, die nicht in jedem Fall eingelöst wurde. Am Rat ändert das nichts — Zwei-Faktor bleibt die wirksamste einzelne Massnahme für ein Login. Es ist nur eine Erinnerung daran, dass auch eine Schutzmassnahme Software ist und dieselben Fehler haben kann wie alles andere.
Für Joomla 4 gibt es diese Updates nicht
Hier wird die Meldung für viele Schweizer KMU erst richtig relevant.
Acht der zehn Lücken betreffen Joomla ab Version 4.0. Zwei reichen noch weiter zurück: Eine besteht seit Joomla 3, eine seit den allerersten Versionen. Behoben sind sie in 5.4.8 und 6.1.3 — und nur dort.
Joomla 4 hat am 14. Oktober 2025 sein Lebensende erreicht und bekommt seither keine Sicherheitsupdates mehr. Wer heute noch darauf sitzt, hat nach diesem Dienstag also acht zusätzliche offene Stellen, jede davon mit einer öffentlichen Nummer versehen, jede nachlesbar beschrieben. Und genau das ist der Unterschied zu einer allgemeinen Mahnung: Dass ein Ende der Updates riskant ist, haben wir im September geschrieben. Seither ist aus dem Risiko eine Liste geworden, die jeder einsehen kann — auch jene, die nach verwundbaren Installationen suchen.
Veröffentlichte Sicherheitshinweise sind für Angreifer eine Bauanleitung. Bei gepflegten Versionen ist das vertretbar, weil das Update gleichzeitig erscheint. Bei Versionen ohne Updates fällt genau diese Hälfte weg.
Was jetzt zu tun ist
Auf Joomla 5 oder 6: Aktualisieren Sie auf 5.4.8 beziehungsweise 6.1.3. Das ist ein Minor-Update, es bricht nichts und ist in wenigen Minuten erledigt. Prüfen Sie danach im Backend unter *System → Aktualisierung*, ob die Version wirklich anliegt.
Auf Joomla 4 oder älter: Ein Update gibt es nicht, das Problem lässt sich nicht aussitzen. Der Weg führt über Joomla 5 auf Joomla 6, jeweils als reguläres Major-Update — wie das abläuft und woran es in der Praxis scheitert, steht in unserem Ratgeber zur Joomla-Migration. Wenn Sie das nicht selbst machen möchten, übernehmen wir die Migration.
Unabhängig von der Version: Schauen Sie sich an, wer auf Ihrer Website welche Rechte hat. Die drei Schnittstellen-Lücken sind nur dann ein Thema, wenn es überhaupt Konten mit eingeschränkten Rechten gibt — und dann lohnt die Frage, ob die Abstufung noch stimmt. Alte Redakteurskonten von Personen, die längst nicht mehr im Betrieb sind, gehören ohnehin gelöscht.
Wer die Websites, die wir betreuen, im Wartungsvertrag hat, muss nichts tun: Diese Aktualisierungen laufen bei uns.