htprotect.org bündelt aktuelle, kritische Sicherheitslücken beliebter Joomla-Erweiterungen und -Frameworks – sachlich, kostenlos und mit Schritt-für-Schritt-Anleitungen, die auch für Einsteiger nachvollziehbar sind. Ziel: Betroffene schnell warnen und beim Schließen der Lücken unterstützen.
Sechs aktuelle, als kritisch eingestufte Lücken. Prüfen Sie die installierten Versionen – Details und Anleitungen je Eintrag.
Jede Lücke kurz angerissen – ein Klick führt zur ausführlichen, einsteigerfreundlichen Anleitung.
Im Template-Framework Helix3 von JoomShaper wurden mehrere schwerwiegende Lücken im AJAX-Plugin bekannt – darunter das Schreiben und Löschen von Dateien sowie das Hochladen von PHP-Code ohne Anmeldung. Betroffen sind alle Versionen vor 3.1.1; die Korrektur 3.1.1 steht über den normalen Joomla-Updater bereit. Wichtig: Helix3 ist nicht mit dem neueren Helix Ultimate zu verwechseln.
Im weit verbreiteten Astroid Framework erlaubt eine kritische Lücke das Hochladen von Dateien ohne jede Anmeldung – und damit im schlimmsten Fall das Ausführen von Schadcode (RCE). Betroffen sind die Versionen 2.0.0 bis 3.3.10; behoben ab 3.3.11, empfohlen wird 3.3.13 oder neuer (CVE-2026-21628). Bereits angegriffene Seiten zeigen oft untergeschobene Plugins wie „BLPayload“ oder „JCachePro“.
Das Tassos Framework (früher Novarain) steckt unbemerkt in vielen beliebten Erweiterungen wie Convert Forms oder EngageBox. Über unauthentifizierte AJAX-Aufrufe sind Datei- und Datenbankzugriffe möglich – die Lücke gilt mit CVSS 9,5 als hochkritisch, ein öffentliches Exploit-Tool existiert (CVE-2026-21627). Es genügt, eine beliebige Tassos-Erweiterung zu aktualisieren: Das Framework wird dabei automatisch auf eine sichere Version (6.0.62+) gehoben.
JCE ist einer der meistgenutzten Editoren für Joomla. Eine unzureichende Zugriffskontrolle erlaubte es nicht angemeldeten Angreifern, Editor-Profile und darüber beliebige Dateien hochzuladen – die Lücke wird bereits aktiv zum Einschleusen von Webshells ausgenutzt. Betroffen sind alle Versionen vor 2.9.99.5 (Free wie Pro), unabhängig davon, ob die Registrierung aktiviert ist. Sicher ist 2.9.99.5, besser die nachgelegte 2.9.99.6.
iCagenda ist ein beliebter Veranstaltungskalender für Joomla. Im Formular zum Einreichen von Events fehlte eine echte Login-Prüfung – dadurch konnten auch nicht angemeldete Angreifer Dateien hochladen, selbst wenn das Formular eigentlich auf registrierte Nutzer beschränkt war. Betroffen sind alle Versionen vor 4.0.8; die Korrektur 4.0.8 erschien am 15. Juni 2026.
SP Page Builder ist einer der meistgenutzten Page-Builder für Joomla. Eine Zero-Day-Lücke in der Funktion zum Hochladen von Custom-Icons prüfte weder Anmeldung noch Dateityp und erlaubte so das Ausführen von Schadcode (RCE) ohne Login. Betroffen ist die gesamte 6.x-Reihe bis einschließlich 6.6.1; das Notfall-Update 6.6.2 schließt die Lücke. Sie wird bereits aktiv ausgenutzt und hinterlässt versteckte Super-User und Backdoors.
Fast alle hier beschriebenen Lücken schließen Sie auf demselben Weg – über das Joomla-Update-Center. Diese allgemeine Anleitung gilt für Einsteiger:
Rufen Sie den Joomla-Administrator auf (Ihre Domain mit Zusatz /administrator) und melden Sie sich an.
Gehen Sie zu System›Aktualisieren›Erweiterungen und klicken Sie auf Auf Updates prüfen.
Wählen Sie die betroffene Erweiterung aus der Liste und klicken Sie auf Aktualisieren. Joomla lädt und installiert die neue Version automatisch.
Prüfen Sie anschließend die installierte Versionsnummer (Komponente bzw. Erweiterungen›Verwalten) und gleichen Sie sie mit der „sicheren Version“ auf der jeweiligen Detailseite ab.
Ein Update schließt die Lücke, entfernt aber keinen bereits eingeschleusten Schadcode. Bei Auffälligkeiten die Seite fachgerecht bereinigen lassen und alle Passwörter ändern.
HTProtect
Viele der hier gelisteten Lücken folgen demselben Muster: unauthentifizierter Datei-Upload. Genau hier setzt HTProtect an – als zusätzliche Schutzschicht für Joomla, die ein Hersteller-Update aber nicht ersetzt.
.htaccess nicht sieht.Hinweis: HTProtect ersetzt keine Updates. Die wirksamste Maßnahme bleibt das zeitnahe Einspielen der Hersteller-Updates – HTProtect reduziert das Risiko im Zeitfenster davor und meldet Auffälligkeiten.
htprotect.org ist ein kostenloses, herstellerunabhängiges Informationsangebot. Unterstützt wird es von:
Joomla-Hoster aus Deutschland mit aktivem Community-Support – entdeckte den ersten Angriff auf die JCE-Sicherheitslücke.
fc-hosting.de
Spezialisiert auf Bereinigung, Wartung und Absicherung von Joomla- und WordPress-Websites.
website-bereinigung.deDu betreibst einen Hosting- oder Joomla-Dienst und möchtest htprotect.org fördern – und hier als Unterstützer sichtbar werden? Jede Unterstützung hilft, Betroffene schneller zu warnen.