Aktuelle Schwachstellen in Joomla Extensions, die Unternehmer kennen sollten
Wenn Sie eine Joomla Website betreiben, waren die letzten Monate für die Sicherheit von Extensions eine schwierige Zeit.
Bei mehreren weit verbreiteten Joomla Extensions wurden zuletzt schwere Schwachstellen bekannt, und das sind nur die, die Schlagzeilen gemacht haben. Es gab viele weitere. Einige liessen sich ohne Anmeldung ausnutzen, ein Angreifer brauchte also weder Login noch Passwort. Wenn Ihnen einer dieser Namen bekannt vorkommt, weil Sie oder Ihr Entwickler die Extension vor Jahren installiert und seitdem nie wieder daran gedacht haben, ist genau das das Problem.
Welche Extensions betroffen waren
Einige Namen, die Sie kennen sollten:
- Gridbox
- JCE
- SP Page Builder
- EasyStore
- PageBuilderCK
Die Liste ist bei Weitem nicht vollständig. Neue Schwachstellen in Extensions werden regelmässig veröffentlicht. Genau deshalb ist es wichtiger, aktuell zu bleiben, als jede einzelne Lücke verfolgen zu wollen.
Die technischen Details zu jeder dieser Lücken finden Sie in der National Vulnerability Database. Hier geht es um die Frage, die wirklich zählt, wenn Sie kein Entwickler sind: Ist meine Website betroffen, und was tue ich dagegen?
Warum ein Patch der Extension nicht reicht
Das wird selten klar gesagt: Eine verwundbare Extension ist nur die Hälfte des Problems. Viele Entwickler veröffentlichen weiterhin Patches für Joomla 3, was wirklich anständig ist, denn Joomla 3 selbst erhält schon länger keinen offiziellen Support mehr. Genau hier versteckt sich aber das Risiko: Ein Patch für die Extension patcht nicht die Plattform darunter. Der Joomla 3 Core erhält keine Sicherheitsupdates mehr vom Joomla Team. Selbst wenn jede Extension vollständig gepatcht ist, bleibt das Fundament allem ausgesetzt, was künftig im Core gefunden wird.
Das ist der eigentliche Risikoverstärker: Ein Patch für eine Extension repariert eine Tür, ein nicht mehr unterstützter Core lässt aber alle anderen Türen des Hauses unbewacht.
Sie wissen nicht, ob Ihre Joomla Website gefährdet ist?
Wir prüfen Ihre installierten Extensions, klären, welche Versionen betroffen sind, und patchen oder aktualisieren bei Bedarf sicher. Getestet und geprüft, ohne Ausfallzeit.
Kostenloses Website Audit anfordern
„Aber ich habe doch Sicherheitsregeln in meiner .htaccess-Datei“
Dieses verbreitete Missverständnis sprechen wir direkt an. Viele Betreiber glauben, dass Regeln auf Serverebene in der .htaccess ausreichen, etwa gesperrte Dateitypen, eingeschränkter Ordnerzugriff oder blockierte Angriffsmuster. Diese Regeln helfen, stoppen aber nicht das, was die jüngsten Schwachstellen tatsächlich ausnutzen.
Die meisten dieser Fehler wirken über die Anwendung selbst: ein Formular, ein Feld zum Hochladen von Dateien, eine Funktion im Backend, also etwas, das die Extension Besuchern oder angemeldeten Benutzern bewusst anbietet. Ihre .htaccess-Datei sitzt vor dem Server und nicht in der Anwendungslogik. Sie kann deshalb nichts erkennen oder stoppen, das als normal aussehende Anfrage an eine reguläre Funktion ankommt. Die Schwachstelle liegt nicht darin, wie Besucher Ihre Website erreichen, sondern darin, was passiert, wenn ein bestimmter Code ausgeführt wird. Keine noch so gute Server-Härtung schreibt diesen Code neu.
Genau deshalb ist Patchen wichtiger als Abwehrregeln. Ein Patch behebt den eigentlichen Fehler. Eine .htaccess-Regel versucht nur zu erraten, welche Anfragen gefährlich sein könnten, und ausgefeilte Exploits sind gezielt so gebaut, dass sie harmlos aussehen.
Was Sie tatsächlich tun sollten
Wenn Sie nicht wissen, welche Extensions auf Ihrer Website laufen und in welcher Version, finden Sie das als Erstes heraus, noch bevor Sie sich mit einer bestimmten Schwachstelle beschäftigen. Genau dafür haben wir ein kostenloses Tool entwickelt: JC System Report ist eine kleine Joomla Extension. Sie installieren sie, führen sie einmal aus, und sie erstellt einen vollständigen Diagnosebericht Ihrer Website, mit jeder Extension und ihrer Version. Sie müssen keine Zugangsdaten an Dritte weitergeben. Sie laden einfach den Bericht herunter und sehen genau, wo Sie stehen.
Zeigt der Bericht, dass Ihre Website noch auf einem alten Joomla 3 oder frühen Joomla 4 Core läuft, ist das das eigentliche Problem, das Sie lösen sollten, nicht nur die einzelne Extension. Ein veralteter Core bedeutet, dass jeder künftige Fix an dieselbe Grenze stösst wie dieser.
Kostenloses Website Audit anfordern
Ein Upgrade auf Joomla 5 oder 6 schliesst diese Lücke dauerhaft, statt Sie eine Extension nach der anderen patchen zu lassen, während das Fundament ungeschützt bleibt.
Bereit, die Sicherheitslücke endgültig zu schliessen?
Wir aktualisieren Ihren Joomla Core und Ihre Extensions auf die neuesten sicheren Versionen und testen alles vollständig auf einer Staging-Umgebung, bevor etwas live geht. Festpreise, keine Ausfallzeit.
Kostenloses Website Audit anfordern →Häufig gestellte Fragen