Kritische Sicherheitslücken in Joomla-Erweiterungen
Die meisten gehackten Joomla-Websites werden nicht über Joomla selbst angegriffen, sondern über veraltete Erweiterungen. Hier finden Sie eine Auswahl kritischer Sicherheitslücken in verbreiteten Erweiterungen und die Version, die Sie mindestens installiert haben sollten.
Stand: November 2026. Die Liste ist eine Auswahl und nicht vollständig. Fehlt eine Erweiterung in der Liste, heißt das nicht, dass sie sicher ist.
Aktuelle Warnungen
| Erweiterung | Risiko | Betroffene Versionen | Sichere Version | Angriffe bekannt |
|---|---|---|---|---|
| JCE Editor | Angreifer können ohne Anmeldung Dateien hochladen und eigenen Code ausführen. | bis 2.9.99.4 | ab 2.9.99.5, empfohlen 2.9.99.10 oder neuer | Ja |
| Astroid Framework | Angreifer können ohne Anmeldung Dateien hochladen und eigenen Code ausführen. | 2.0.0 bis 3.3.10 | ab 3.3.11, empfohlen 3.5.0 oder neuer | Ja |
| Helix3 Framework | Angreifer können ohne Anmeldung Dateien schreiben und löschen. | bis 3.1.1 | ab 3.1.2 | Ja |
| SP Page Builder | Angreifer können ohne Anmeldung eigenen Code ausführen und die Datenbank auslesen. | bis 6.7.1 | ab 6.8.0, empfohlen 6.9.1 oder neuer | Ja |
| Novarain Framework (Tassos Framework, enthalten u. a. in Convert Forms, EngageBox und Advanced Custom Fields) |
Angreifer können ohne Anmeldung auf Dateien und die Datenbank zugreifen. | 4.10.14 bis 6.0.37 | ab 6.0.38, empfohlen 6.0.62 oder neuer | Angriffscode ist öffentlich |
| Helix Ultimate | Angreifer können ohne Anmeldung Dateien löschen und Schadcode in die Website einschleusen. | vor 2.2.7 | ab 2.2.7, empfohlen 2.2.11 oder neuer | Angriffscode ist öffentlich |
| AcyMailing | Angreifer können ohne Anmeldung die Datenbank auslesen. | 6.0.0 bis 10.11.0 | ab 10.11.1, empfohlen 11.1.0 oder neuer | Angriffscode ist öffentlich |
Die genannte sichere Version ist das Minimum. Installieren Sie nach Möglichkeit immer die neueste Version des Herstellers.
Bin ich betroffen?
Welche Version einer Erweiterung auf Ihrer Website läuft, sehen Sie im Administrationsbereich unter System → Verwalten → Erweiterungen. Suchen Sie dort nach dem Namen der Erweiterung und vergleichen Sie die Versionsnummer mit der Tabelle.
Prüfen Sie auch Erweiterungen, die Sie gar nicht mehr nutzen. Eine installierte Erweiterung ist angreifbar, selbst wenn sie deaktiviert ist. Was Sie nicht brauchen, sollten Sie deinstallieren.
Ein Update allein reicht nicht immer
Ein Update schließt die Lücke, entfernt aber keine Schaddateien, die ein Angreifer vorher hinterlassen hat. Lief Ihre Website längere Zeit mit einer betroffenen Version, sollten Sie sie prüfen lassen. Warnzeichen sind unbekannte Benutzer oder Plugins, fremde Dateien auf dem Server und Weiterleitungen auf fremde Seiten.
Ihre Website wurde bereits gehackt? Dann hilft Ihnen unsere Seite Joomla-Website gehackt weiter.
Weitere Informationen
- Liste verwundbarer Erweiterungen des Joomla-Projekts (englisch)
- Joomla Security Centre: Sicherheitsmeldungen zu Joomla selbst (englisch)
- Joomla-Updates im Überblick: aktuelle Joomla-Versionen
- Joomla zusätzlich absichern
Updates nicht mehr selbst im Blick behalten?
Mit unserem Wartungsvertrag halten wir Joomla und Ihre Erweiterungen aktuell. Wird eine kritische Sicherheitslücke bekannt, installieren wir das Update sofort.
