Was ist passiert?
Am 22. Oktober 2026 wurde die Schwachstelle CVE-2026-102785 öffentlich gemeldet. Sie betrifft das weit verbreitete Joomla-Template-Framework YOOtheme Pro in den Versionen 5.0.0 bis einschließlich 5.0.52. Der Fehler liegt im öffentlich zugänglichen Bildtransformations-Handler des Frameworks: Dieser prüft die kryptografische Signatur von Bildoperationen und des Ausgabepfads nur unvollständig.
Ein Angreifer kann eine gültige Signatur aus einer beliebigen, öffentlich aufrufbaren Bild-URL des Zielsystems extrahieren, diese Signatur wiederverwenden und zusätzliche Bildoperationen einschleusen. Durch einen gezielten Path-Traversal-Angriff gelingt es ihm, das vorgesehene Cache-Verzeichnis zu verlassen und eine speziell präparierte Datei – ein sogenanntes PNG/PHP-Polyglot (eine Datei, die gleichzeitig ein gültiges PNG-Bild und ausführbarer PHP-Code ist) – in ein öffentlich erreichbares und vom Webserver ausführbares Verzeichnis zu schreiben. Anschließend genügt ein einfacher HTTP-Aufruf dieser Datei, um beliebigen PHP-Code auf dem Server auszuführen.
Wer ist betroffen?
- Alle Joomla-Websites, die YOOtheme Pro in einer Version von 5.0.0 bis 5.0.52 verwenden.
- Betreiber von Unternehmenswebseiten, Online-Shops oder Community-Portalen auf Joomla-Basis mit YOOtheme Pro als Template-Framework.
- Agenturen und Dienstleister, die YOOtheme-basierte Seiten für Kunden hosten oder betreuen.
Da keinerlei Authentifizierung erforderlich ist, ist jede öffentlich erreichbare Installation der betroffenen Versionen potenziell gefährdet – unabhängig von Zugangsbeschränkungen im Backend.
Wie gefährlich ist diese Lücke?
Die Schwachstelle ist als kritisch einzustufen. Eine erfolgreiche Ausnutzung ermöglicht die vollständige Kompromittierung des Webservers: Angreifer können Schadcode einschleusen, Daten stehlen oder manipulieren, Backdoors hinterlegen und den Server als Ausgangspunkt für weitere Angriffe nutzen. Da kein Login notwendig ist und die Ausnutzung technisch verhältnismäßig einfach ist, ist von einer baldigen aktiven Ausnutzung in freier Wildbahn auszugehen – falls dies nicht bereits geschieht.
Besonders brisant: Die Signatur, die für den Angriff benötigt wird, ist in jeder beliebigen öffentlichen Bild-URL der betroffenen Website sichtbar – es sind also keinerlei Vorkenntnisse über die Zielseite erforderlich.
Was ist jetzt zu tun?
- Sofort aktualisieren: Prüfen Sie die installierte Version von YOOtheme Pro in Ihrer Joomla-Installation und spielen Sie umgehend das Update auf eine Version ein, die über 5.0.52 liegt. Informationen zum aktuellen Patch finden Sie direkt beim Hersteller auf yootheme.com.
- Installation prüfen: Kontrollieren Sie Ihre öffentlich zugänglichen Medienverzeichnisse auf unbekannte oder verdächtige PHP-Dateien, die durch einen Angriff hinterlegt worden sein könnten.
- Serverprotokolle analysieren: Prüfen Sie Ihre Webserver-Logs auf verdächtige Anfragen an den Bildtransformations-Handler, insbesondere auf ungewöhnliche Parameter oder Pfadangaben.
- Web Application Firewall (WAF): Sofern noch nicht vorhanden, erwägen Sie den Einsatz einer WAF als zusätzliche Schutzschicht.
- Backup sicherstellen: Stellen Sie sicher, dass aktuelle, saubere Backups Ihrer Website und Datenbank vorliegen.
Sie sind unsicher, ob Ihre Joomla-Website betroffen ist, oder benötigen Unterstützung beim Update und der Sicherheitsüberprüfung? Das Team von monsi.it hilft Ihnen schnell und zuverlässig weiter – nehmen Sie jetzt Kontakt über unser Kontaktformular auf.
Titelbild mit KI erstellt.