Warum Extension-Updates in Joomla genauso wichtig sind wie Core-Updates

Wenn es darum geht, „Joomla aktuell zu halten“, denken die meisten an eine Sache: den Core zu aktualisieren, sobald eine neue Version erscheint. Das ist nur die halbe Miete. Die andere Hälfte, und zwar die, auf die die meisten echten Sicherheitsvorfälle zurückgehen, besteht darin, auch jede Extension auf Ihrer Website aktuell zu halten.

Das eigentliche Risiko liegt meist nicht im Joomla Core

Mitte 2026 haben Sicherheitsforscher rund einen Monat lang gezielt nach Schwachstellen in beliebten Joomla Extensions gesucht. Sie fanden zwölf einzelne Probleme in zwölf weit verbreiteten Extensions, die meisten davon als kritisch eingestuft, darunter einen Fehler im SP Page Builder, über den wir in unserem Beitrag zum SP Page Builder Sicherheitsupdate berichtet haben.

Das Entscheidende: Keine dieser Schwachstellen lag in Joomla selbst. Jede steckte in einer Extension eines Drittanbieters, also in einer Komponente, einem Plugin oder einem Template Framework, das auf der Joomla Plattform installiert war.

Das Joomla Core Team hat bei der Sicherheit eine starke Bilanz. Mehr dazu lesen Sie in 10 starke Wege, wie Joomla Ihre Website vor Hackern und Bedrohungen schützt. Das eigentliche Risiko liegt in dem, was zusätzlich installiert wird.

Das ist in gewisser Weise beruhigend: „Joomla ist unsicher“ stimmt so nicht. Es bedeutet aber auch, dass eine sichere Website mehr braucht als nur einen aktuellen Core.

Selbst vertrauenswürdige Extensions waren betroffen

Betroffen waren nicht nur unbekannte oder schlecht gepflegte Plugins. Auch Page Builder, Formular-Tools, Kalenderkomponenten und Template Frameworks, die auf sehr vielen Live-Websites laufen, hatten Lücken, darunter Helix Ultimate, das Template Framework, auf dem viele Joomla Websites aufbauen, auch einige, die wir betreuen.

Es ist auch eine gute Erinnerung, alles zu entfernen, was Sie nicht aktiv nutzen. Unser Leitfaden zum Bereinigen alter Joomla Extensions vor einem Upgrade behandelt das ausführlicher.

Die Lehre daraus: Beliebtheit und ein guter Ruf zeigen, dass ein Tool gepflegt wird. Sie garantieren nicht, dass es frei von Risiken ist.

Warum Tempo heute wichtiger ist als früher

Angreifer nutzen inzwischen KI-Tools, um eine gepatchte Extension mit ihrer Vorversion zu vergleichen, schnell zu erkennen, was behoben wurde, und daraus wenige Stunden nach dem Update einen funktionierenden Angriff zu bauen.

„Wir aktualisieren nächstes Wochenende“ ist kein sicherer Ansatz mehr. Die Zeit zwischen der Veröffentlichung eines Fixes und dem Angriff auf eine ungeschützte Website wird heute in Stunden gemessen, nicht in Wochen.

Was wir bereits für Sie erledigen

Wenn Ihre Website in einem unserer Wartungspläne ist, kümmern wir uns im Hintergrund bereits um Folgendes:

• Überwachung von Core und jeder installierten Extension auf verfügbare Updates.
• Sicherheitspatches werden zeitnah eingespielt, nicht erst „wenn gerade Zeit ist“.
• Vor jedem Update entsteht ein vollständiges Backup, damit wir bei Bedarf sofort zurückspielen können.
• Wir beobachten bekannte Schwachstellen in genau den Extensions, die Ihre Website nutzt.

Was Sie selbst tun können

Ein paar einfache Gewohnheiten helfen auch auf Ihrer Seite sehr:

• Ignorieren Sie Update-Hinweise im Backend nicht.
• Sprechen Sie mit uns, bevor Sie neue Extensions installieren, vor allem unbekannte oder kostenlose.
• Verwenden Sie ein starkes, eigenes Admin-Passwort.
• Geben Sie Zugangsdaten nicht per E-Mail oder Chat weiter.

Fazit

Bei einer sicheren Joomla Website geht es nicht nur um den Core. Extensions aktuell zu halten, auch vertrauenswürdige, ist eine laufende Aufgabe.

Wir übernehmen das für Sie

Mehr dazu, was laufender Schutz umfasst, lesen Sie in Joomla Wartungspläne 2026: Was enthalten sein sollte.