Was ist passiert?
In der Joomla-Extension Custom Tables des Anbieters joomlaboat.com wurde eine schwerwiegende Sicherheitslücke (CVE-2026-105606) identifiziert und am 2. November 2026 öffentlich bekannt gemacht. Alle Versionen vor 3.7.8 sind betroffen. Die Lücke erlaubt es nicht authentifizierten Angreifern – also völlig ohne Benutzerkonto –, sogenannte Polyglot-Dateien mit einer frei wählbaren Dateiendung in das öffentlich erreichbare temporäre Verzeichnis (/tmp) einer Joomla-Installation hochzuladen. Der vollständige Pfad der hochgeladenen Datei wird dabei direkt in der Server-Antwort zurückgegeben, sodass Angreifer den Ablageort sofort kennen.
Wer ist betroffen?
Betroffen sind alle Betreiber von Joomla-Websites, die die Extension Custom Tables in einer Version kleiner als 3.7.8 installiert haben und mindestens ein öffentlich zugängliches Submission-Formular (z. B. für Kontakt, Registrierung, Dateneingabe oder Bestellungen) betreiben. Da solche Formulare häufig gezielt nach außen exponiert werden, ist die Angriffsfläche in der Praxis erheblich.
Wie gefährlich ist die Lücke?
Obwohl zum Zeitpunkt der Veröffentlichung noch kein offizieller CVSS-Score vorliegt, ist das Schadenspotenzial als hoch einzustufen:
- Kein Login erforderlich: Der Angriff ist ohne jegliche Authentifizierung durchführbar.
- Beliebige Dateiendung: Angreifer können die Dateiendung selbst bestimmen, was das Einschleusen von HTML-, Script- oder anderen Dateitypen ermöglicht.
- Öffentlich erreichbares Verzeichnis: Die hochgeladenen Dateien sind sofort über das Web abrufbar.
- Phishing und Malware-Hosting: Angreifer können unter der vertrauenswürdigen Domain Ihrer Website gefälschte Seiten oder Schadsoftware hosten – mit potenziell gravierenden Folgen für Ihr Unternehmensimage und die Sicherheit Ihrer Besucher.
- Pfad-Offenlegung: Der Upload-Pfad wird in der HTTP-Antwort zurückgegeben, was weitere Angriffe erleichtert.
Auch wenn die Standardkonfiguration keine direkte serverseitige Code-Ausführung erlaubt (hochgeladene Dateien werden als statischer Content ausgeliefert), bietet die Schwachstelle eine solide Grundlage für weiterführende Angriffe, sobald eine Serverkonfiguration dies ermöglicht.
Was ist jetzt zu tun?
- Sofort aktualisieren: Spielen Sie das Update auf Custom Tables Version 3.7.8 oder höher ein. Das Update schließt die Lücke und sollte ohne Verzögerung eingespielt werden.
- Installierte Version prüfen: Kontrollieren Sie im Joomla-Backend unter Erweiterungen → Verwalten, welche Version von Custom Tables bei Ihnen installiert ist.
- Temporäres Verzeichnis prüfen: Sehen Sie im
/tmp-Verzeichnis Ihrer Joomla-Installation nach verdächtigen Dateien, die möglicherweise bereits hochgeladen wurden. - Formulare temporär deaktivieren: Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie öffentliche Custom-Tables-Formulare vorübergehend, bis das Update eingespielt ist.
- Webserver-Konfiguration härten: Stellen Sie sicher, dass Upload-Verzeichnisse keine Skript-Ausführung erlauben (z. B. per
.htaccess-Regel oder Nginx-Konfiguration). - Joomla-Installation allgemein prüfen: Nutzen Sie den Anlass, alle installierten Extensions auf Aktualität zu prüfen.
Handeln Sie jetzt – wir unterstützen Sie
Als auf Joomla spezialisierter IT-Dienstleister behalten wir solche Sicherheitsmeldungen für Sie im Blick. Wenn Sie unsicher sind, ob Ihre Joomla-Website betroffen ist, oder wenn Sie Unterstützung bei der Aktualisierung, der Analyse Ihrer Installation oder der allgemeinen Absicherung benötigen, sprechen Sie uns gerne an. Nutzen Sie einfach unser Kontaktformular – wir helfen schnell und unkompliziert.
Titelbild mit KI erstellt.