Joomla-Sicherheitslücke steht vor aktiver Ausnutzungsgefahr

Die US-amerikanische Cybersicherheitsbehörde CISA hat Bundesbehörden angewiesen, eine kritische Joomla-Sicherheitslücke bis Freitag zu schließen, nachdem Angreifer begonnen haben, die Schwachstelle aktiv auszunutzen. Die Behörde hat das Problem in ihren Katalog bekannter aktiv ausgenutzter Sicherheitslücken aufgenommen, der Schwachstellen erfasst, die bei realen Angriffen verwendet werden.

Die als CVE-2026-48907 geführte Sicherheitslücke betrifft die Erweiterung Joomla Content Editor (JCE). Sicherheitsforscher warnen, dass Angreifer die Schwachstelle ohne Anmeldung und ohne Interaktion eines Nutzers ausnutzen können. Diese Kombination macht das Problem zu einer der schwerwiegendsten Joomla-Sicherheitslücken, die in diesem Jahr bekannt wurden.

Organisationen, die betroffene Versionen einsetzen, sind einem unmittelbaren Risiko ausgesetzt, wenn sie die Installation der Updates verzögern.

Angreifer können die Kontrolle über verwundbare Server übernehmen

Forscher stellten fest, dass die Schwachstelle auf Mängel in der Profilimport-Funktion von JCE zurückzuführen ist. Angreifer können diese Funktion missbrauchen, um schädliche Profile zu erstellen, gefährliche PHP-Dateien hochzuladen und Code auf anfälligen Systemen auszuführen.

Der Angriff erfordert keine gültigen Zugangsdaten. Angreifer können die Schwachstelle aus der Ferne ausnutzen und weitreichende Kontrolle über betroffene Server erlangen. Aufgrund der schwerwiegenden Auswirkungen und der geringen Komplexität erhielt die Schwachstelle den maximalen CVSS-Wert von 10,0.

Nach erfolgreichem Zugriff können Angreifer Malware installieren, sensible Informationen stehlen, Inhalte von Websites verändern oder Hintertüren für einen späteren Zugriff einrichten. Die Schwachstelle bietet Bedrohungsakteuren einen direkten Weg zur Kompromittierung exponierter Systeme.

Sicherheitsexperten erwarten, dass Angreifer weiterhin gezielt nach verwundbaren Joomla-Installationen im Internet suchen werden.

Öffentliche Exploit-Werkzeuge erhöhen das Risiko

Forscher haben bereits Proof-of-Concept-Code für die Sicherheitslücke veröffentlicht. Die öffentliche Verfügbarkeit solcher Exploit-Werkzeuge erhöht das Risiko erheblich, da nun auch weniger erfahrene Angreifer verwundbare Websites ins Visier nehmen können.

Die Entscheidung der CISA, die Schwachstelle in ihren Katalog aufzunehmen, bestätigt, dass Angreifer sie bereits aktiv ausnutzen. Bundesbehörden müssen der Anweisung folgen und betroffene Systeme vor Ablauf der Frist absichern.

Die weite Verbreitung der JCE-Erweiterung verschärft die Lage zusätzlich. Tausende Websites nutzen den Editor zur Verwaltung von Inhalten und bilden dadurch eine große Zahl potenzieller Ziele.

Cyberkriminelle Gruppen reagieren häufig sehr schnell, sobald Forscher Details zu einer Schwachstelle veröffentlichen. Sicherheitsteams verfügen daher nur über ein begrenztes Zeitfenster, um gefährdete Systeme zu schützen, bevor sich die Angriffe weiter ausbreiten.

Entwickler haben Sicherheitsupdates veröffentlicht

Die Entwickler von JCE haben die Schwachstelle in Version 2.9.99.5 behoben und in Version 2.9.99.6 zusätzliche Sicherheitsverbesserungen eingeführt. Administratoren sollten ihre Systeme unverzüglich aktualisieren, falls dies noch nicht geschehen ist.

Das Update beseitigt die Schwachstelle, doch Organisationen sollten sich nicht allein darauf verlassen. Angreifer könnten einige Server bereits kompromittiert haben, bevor die Sicherheitsupdates installiert wurden.

Sicherheitsteams sollten hochgeladene Dateien überprüfen, Editor-Profile kontrollieren und Serverprotokolle auf verdächtige Aktivitäten analysieren. Zudem sollten sie unerwartete Administratorkonten, unautorisierte Datei-Uploads und ungewöhnlichen Netzwerkverkehr untersuchen.

Organisationen, die Hinweise auf eine Kompromittierung entdecken, sollten umgehend einen vollständigen Incident-Response-Prozess einleiten und betroffene Zugangsdaten austauschen.

Fazit

Die Joomla-Sicherheitslücke CVE-2026-48907 stellt eine erhebliche Bedrohung dar, da Angreifer sie ohne Authentifizierung ausnutzen und die Kontrolle über verwundbare Server übernehmen können. CISA hat die aktive Ausnutzung bereits bestätigt und Bundesbehörden zu schnellem Handeln aufgefordert. Organisationen, die die JCE-Erweiterung verwenden, sollten die neuesten Updates sofort installieren und ihre Systeme auf Anzeichen einer Kompromittierung überprüfen. Verzögerungen bei der Behebung der Schwachstelle könnten Angreifern die Möglichkeit geben, exponierte Umgebungen zu übernehmen.