Was ist passiert?
Am 29. Juli 2026 wurde die Schwachstelle CVE-2026-65891 im weit verbreiteten Joomla-Plugin Joomla Content Editor (JCE) veröffentlicht. Betroffen sind alle Versionen vor 2.20.2. Die Lücke steckt in der Funktion zum Umbenennen von Dateien innerhalb des JCE-Dateimanagers: Durch unzureichende Eingabevalidierung war es möglich, Dateien in eigentlich ungültige Namen umzubenennen. Dies führte einerseits zur Erzeugung von versteckten Dateien (z. B. Dateien mit führendem Punkt im Unix-Stil) und ermöglichte andererseits das unbeabsichtigte Überschreiben bereits vorhandener Dateien am Zielpfad.
Wer ist betroffen?
Betroffen sind alle Joomla-Installationen, auf denen JCE in einer Version kleiner als 2.20.2 aktiv ist. Das Risiko ist besonders relevant, wenn:
- Redakteure, Autoren oder andere nicht-administrative Backend-Benutzer Dateiverwaltungsrechte im JCE haben,
- die Website von mehreren Personen gepflegt wird (z. B. in Agenturen oder bei Kundenportalen),
- sensible Konfigurationsdateien oder Mediendateien im Joomla-Dateibaum liegen.
JCE gehört zu den meistgenutzten Joomla-Erweiterungen überhaupt – die Verbreitung der Schwachstelle ist entsprechend hoch.
Wie gefährlich ist die Lücke?
Ein offizieller CVSS-Score liegt zum Zeitpunkt der Veröffentlichung noch nicht vor. Die Schwachstelle wird vorläufig als mittelschwer eingestuft. Entscheidend ist, dass ein Angreifer bereits authentifiziert sein und über entsprechende Dateiverwaltungsrechte verfügen muss – ein direkter, anonymer Angriff von außen ist daher nicht möglich. Dennoch sollte das Risiko nicht unterschätzt werden:
- Versteckte Dateien (z. B.
.htaccess-Varianten, Shell-Skripte) können auf dem Server dauerhaft Schaden anrichten oder als Hintertür dienen. - Das Überschreiben bestehender Dateien kann zu Datenverlust oder dem Ersetzen legitimer Systemdateien führen.
- In Multi-User-Umgebungen (z. B. Kundenwebsites mit eigenem Redakteurszugang) reicht ein kompromittierter Benutzeraccount aus, um die Lücke auszunutzen.
Was ist jetzt zu tun?
Die Maßnahme ist klar und unkompliziert: JCE sofort auf Version 2.20.2 oder neuer aktualisieren. Das Update schließt die Schwachstelle durch eine korrigierte Eingabevalidierung in der Umbenennungsfunktion. Wir empfehlen folgende Schritte:
- Prüfen Sie im Joomla-Backend unter Erweiterungen → Verwalten, welche JCE-Version installiert ist.
- Führen Sie das Update über den integrierten Joomla-Updater oder manuell über die offizielle JCE-Website durch.
- Überprüfen Sie anschließend, ob im Medienverzeichnis Ihrer Website unbekannte oder versteckte Dateien vorhanden sind.
- Kontrollieren Sie die Dateiverwaltungsrechte Ihrer JCE-Benutzergruppen und vergeben Sie diese nur an vertrauenswürdige Rollen.
Sie brauchen Unterstützung?
Wenn Sie sich nicht sicher sind, welche Version auf Ihrer Joomla-Installation aktiv ist, oder Sie eine professionelle Überprüfung Ihrer Website wünschen, helfen wir Ihnen gerne weiter. Nehmen Sie einfach Kontakt mit uns auf – über unser Kontaktformular stehen wir Ihnen schnell und unkompliziert zur Verfügung.