Zwei Erweiterungen für Joomla tragen zurzeit die Höchstwertung 10.0 — mehr geht auf der Skala für Sicherheitslücken nicht. Beide erlauben es, ohne jede Anmeldung Code auf dem Server auszuführen. Und für beide gibt es seit Monaten eine Korrektur.
Genau das ist der Punkt. Nicht die frische Lücke richtet den Schaden an, sondern die alte, die niemand geschlossen hat.
Die erste: ein Framework, von dem viele nichts wissen
Astroid ist kein Plugin, das man bewusst installiert. Es ist ein Template-Framework — der Unterbau, auf dem viele käufliche Joomla-Templates aufbauen. Wer sein Template bei einem Anbieter gekauft hat, hat Astroid möglicherweise im Haus, ohne den Namen je gehört zu haben.
Die Lücke trägt die Kennung CVE-2026-21628 und funktionierte verblüffend einfach: Astroid prüfte bei bestimmten Anfragen zwar das Sicherheitstoken, aber nicht, ob überhaupt jemand angemeldet ist. Und dieses Token liegt öffentlich herum — es steht auf der Anmeldeseite der Verwaltung, die jeder aufrufen kann.
Ein Angreifer holte sich also das Token von der Login-Seite, schickte es an die Schnittstelle von Astroid und konnte damit Dateien hochladen, umbenennen und Erweiterungen installieren. Ohne Passwort, ohne Konto.
Betroffen sind die Versionen 2.0.0 bis 3.3.10, unter Joomla 4, 5 und 6. Behoben ist es seit dem 10. März 2026 mit Version 3.3.11; der Hersteller empfiehlt 3.3.13 oder neuer. Aktuell ist inzwischen 3.4.3.
Die zweite: der meistgenutzte Editor
JCE, der Joomla Content Editor, ist auf sehr vielen Joomla-Seiten das Werkzeug, mit dem Texte geschrieben werden. Die Lücke CVE-2026-48907 betrifft die Versionen 1.0.0 bis 2.9.99.4 und führt ebenfalls zur Ausführung von fremdem Code.
Sie ist behoben seit dem 3. Juni 2026 mit Version 2.9.99.5. Aktuell ist 2.9.99.10 vom 29. Juli — wer aktualisiert, sollte gleich dorthin gehen.
Der Unterschied zu Astroid: Bei JCE ist die aktive Ausnutzung amtlich bestätigt. Die amerikanische Cybersicherheitsbehörde CISA führt die Lücke in ihrem Verzeichnis der nachweislich ausgenutzten Schwachstellen. Dort landet nichts auf Verdacht.
Wie Sie in fünf Minuten wissen, wo Sie stehen
Melden Sie sich in der Joomla-Verwaltung an und gehen Sie auf System → Verwalten → Erweiterungen. Suchen Sie dort nach zwei Namen:
«Astroid» — finden Sie einen Eintrag, prüfen Sie die Versionsnummer. Alles unter 3.3.11 ist verwundbar.
«JCE» — alles unter 2.9.99.5 ist verwundbar.
Findet sich Astroid nicht in der Liste, schauen Sie zusätzlich unter System → Templates, welches Template aktiv ist. Manche Anbieter liefern das Framework als Teil des Templates aus, wo es unter dem Namen des Templates läuft.
Die Spuren, an denen Sie einen Einbruch erkennen
Das ist der Teil, der in den Fachmeldungen fehlt — und der wichtigere. Ein Update schliesst die Tür, aber es sagt nichts darüber, ob vorher schon jemand hindurchgegangen ist.
Bei der Astroid-Lücke sind die Hinterlassenschaften dokumentiert. Sehen Sie in derselben Erweiterungsliste nach zwei Plugins, die dort nichts zu suchen haben:
- «System - BLPayload»
- «System - JCachePro»
Der zweite Name ist perfide gewählt: Er klingt nach einem Zwischenspeicher-Plugin, also nach etwas Nützlichem. Beide gehören nicht zu Joomla und nicht zu einer seriösen Erweiterung.
Dazu wurden Dropper-Dateien im Verzeichnis `/images/` gefunden. Dort gehören Bilder hin und sonst nichts. Eine PHP-Datei zwischen den Fotos ist immer ein Alarmzeichen — egal, wie unauffällig sie heisst.
Wenn Sie fündig werden
Dann ist das Aktualisieren nicht mehr die Lösung, sondern nur noch der erste von mehreren Schritten. Eine Hintertür bleibt bestehen, auch wenn die Lücke, durch die sie kam, längst geschlossen ist.
Was in diesem Fall zu tun ist, haben wir in der Ersten Hilfe für gehackte Websites aufgeschrieben. Der wichtigste Punkt daraus: Nicht einfach ein Backup einspielen und weitermachen. Wenn der Einbruch vor dem Backup lag, holen Sie die Hintertür damit zurück.
Was wir empfehlen
Prüfen Sie beide Versionsnummern, auch wenn Sie sicher sind. Fünf Minuten gegen ein Restrisiko, das im schlechtesten Fall die ganze Website kostet — die Rechnung geht immer auf.
Schauen Sie in die Erweiterungsliste, nicht nur auf die Updates. Ein Angreifer, der ein Plugin nachinstalliert, meldet das nicht.
Und danach: Wer prüft das eigentlich regelmässig? Beide Lücken waren monatelang bekannt und behoben. Sie wurden trotzdem ausgenutzt, weil zwischen «Update verfügbar» und «Update eingespielt» bei vielen Websites niemand steht. Genau diese Lücke schliessen wir bei den Websites, die wir laufend überwachen — nicht, weil Updates schwierig sind, sondern weil sie sonst liegen bleiben.