Was ist passiert?
Am 19. August 2026 wurde die Schwachstelle CVE-2026-75953 in der Joomla-Extension J-BusinessDirectory von cmsjunkie.com veröffentlicht. Der Fehler steckt in der Art, wie die Extension die Empfängeradresse bei Kontaktanfragen zu Angeboten und Veranstaltungen ermittelt: Statt die Adresse serverseitig aus dem jeweiligen Datenbank-Datensatz (Angebot oder Event) zu laden, wird sie direkt aus dem HTTP-Request übernommen – konkret aus den Parametern contact_id_offer bzw. contact_id_event.
Ein Angreifer kann diese Parameter beliebig manipulieren und damit E-Mails an jede gewünschte Adresse über den betroffenen Webserver versenden. Dies wird als Open Mail Relay bezeichnet und ist eine klassische Schwachstelle, die Spammer und Phishing-Akteure aktiv ausnutzen.
Wer ist betroffen?
- Alle Joomla-Websites, die J-BusinessDirectory in einer Version kleiner als 6.2.3 einsetzen.
- Typische Einsatzszenarien: lokale Unternehmensverzeichnisse, Branchenportale, Event- und Angebotsplattformen.
- Betreiber, die die Extension für Kontaktformulare zu Einträgen, Angeboten oder Veranstaltungen nutzen, sind unmittelbar gefährdet.
Wie gefährlich ist die Lücke?
Ein offizieller CVSS-Score liegt zum Zeitpunkt der Veröffentlichung noch nicht vor. Die Schwachstelle ist jedoch aus mehreren Gründen ernst zu nehmen:
- Kein Login erforderlich: Die Lücke ist ohne Authentifizierung ausnutzbar – jeder Besucher der Website kann sie missbrauchen.
- Reputationsschaden: Wird der Mailserver Ihrer Domain für den Versand von Spam oder Phishing-Mails missbraucht, landet Ihre Domain schnell auf Blacklists. Das beeinträchtigt die gesamte E-Mail-Kommunikation Ihres Unternehmens.
- Rechtliche Risiken: Der ungewollte Versand von E-Mails über Ihre Infrastruktur kann datenschutz- und wettbewerbsrechtliche Konsequenzen nach sich ziehen.
- Ressourcenmissbrauch: Massenhafter Mailversand belastet den Webserver und kann zu Leistungseinbußen oder Sperrungen durch den Hosting-Anbieter führen.
Was ist jetzt zu tun?
- Sofort updaten: Aktualisieren Sie J-BusinessDirectory auf Version 6.2.3 oder höher. Der Patch schließt die Lücke, indem die Empfängeradresse künftig ausschließlich serverseitig aus dem Datenbank-Datensatz bezogen wird.
- Version prüfen: Loggen Sie sich im Joomla-Backend ein und navigieren Sie zu Erweiterungen → Verwalten, um die installierte Version zu kontrollieren.
- Mail-Logs sichten: Überprüfen Sie die Mailserver-Logs auf auffällig hohe Sendevolumen oder unbekannte Empfängeradressen, um einen möglichen Missbrauch frühzeitig zu erkennen.
- SPF, DKIM und DMARC prüfen: Stellen Sie sicher, dass die DNS-Einträge Ihrer Domain korrekt konfiguriert sind, um den Reputationsschaden im Missbrauchsfall zu begrenzen.
- Alle Extensions im Blick behalten: Halten Sie generell alle Joomla-Extensions und den Joomla-Core aktuell und abonnieren Sie die Sicherheitsmeldungen des Joomla Security Strike Team.
Professionelle Unterstützung gewünscht?
Wenn Sie sich nicht sicher sind, ob Ihre Joomla-Installation betroffen ist, oder wenn Sie eine umfassende Sicherheitsüberprüfung Ihrer Website wünschen, stehen wir Ihnen gerne zur Seite. Wir analysieren Ihre Extension-Versionen, führen das Update durch und überprüfen Ihre Mailkonfiguration auf Schwachstellen. Sprechen Sie uns einfach über unser Kontaktformular an – wir melden uns zeitnah bei Ihnen.
Titelbild mit KI erstellt.