Joomla JCE: CISA warnt vor aktiv ausgenutzter RCE-Lücke
CISA führt CVE-2026-48907 im KEV-Katalog. Betroffen ist die JCE-Erweiterung für Joomla bis Version 2.9.99.4, Updates und Prüfungen sind dringend sinnvoll.
Die US-Cybersicherheitsbehörde CISA warnt vor aktiver Ausnutzung einer kritischen Schwachstelle in der Joomla-Erweiterung JCE, dem Joomla Content Editor. Die Lücke wird als CVE-2026-48907 geführt und betrifft laut NVD JCE-Versionen von 1.0.0 bis einschließlich 2.9.99.4. Für Administratoren von Joomla-Websites ist die Meldung relevant, weil JCE in vielen Installationen als Editor für Inhalte und Medien genutzt wird.
Der Kern des Problems ist ein Fehler in der Zugriffskontrolle. Nicht authentifizierte Angreifer können unter bestimmten Bedingungen neue Editor-Profile anlegen. Daraus kann die Möglichkeit entstehen, PHP-Dateien hochzuladen und anschließend Code auf dem Server auszuführen. NVD bewertet die Schwachstelle nach CVSS 3.1 mit 9.8 als kritisch; die CNA-Bewertung nach CVSS 4.0 liegt bei 10.0. CISA hat die Schwachstelle am 16. Juni 2026 in den Known Exploited Vulnerabilities Catalog aufgenommen und nennt aktive Ausnutzung.
Betroffene Systeme und verfügbare Updates
Betroffen sind Joomla-Websites, auf denen der Joomla Content Editor in Versionen vor 2.9.99.5 eingesetzt wird. Der Hersteller Widget Factory nennt JCE 2.9.99.5 als Sicherheitsupdate vom 3. Juni 2026 und empfiehlt inzwischen JCE Pro 2.9.99.6 oder neuer, weil dort zusätzliche Härtungen enthalten sind. Für ältere Installationen, die noch nicht auf aktuelle Joomla- und PHP-Versionen wechseln können, stellt der Hersteller ein separates Patch-Paket für JCE 2.7.x, 2.8.x und 2.9.x bereit. Diese Notlösung ersetzt jedoch keine Migration auf unterstützte Plattformversionen.
Wichtig ist die Unterscheidung zwischen Schließen der Lücke und Bereinigung eines bereits kompromittierten Systems. Ein Update verhindert neue Angriffe über den bekannten Einstiegspunkt, entfernt aber keine möglicherweise bereits angelegten Editor-Profile, Webshells oder andere Dateien. Betreiber sollten deshalb nicht nur aktualisieren, sondern auch nach Spuren suchen.
Was Administratoren prüfen sollten
Administratoren sollten zunächst die installierte JCE-Version erfassen und Installationen vor 2.9.99.5 priorisiert aktualisieren. Anschließend sollten die JCE-Editor-Profile kontrolliert werden. Verdächtig sind Profile, die nicht bewusst angelegt wurden, ungewöhnliche Namen tragen oder Uploads ausführbarer Dateitypen erlauben. Zusätzlich empfiehlt sich ein Blick in Webserver-Logs auf unauthentifizierte Aufrufe der Import-Funktion für Profile.
Auf Dateiebene sind insbesondere PHP-Dateien in Upload-Verzeichnissen ein Warnsignal. Findet ein Team unbekannte Dateien oder ein verdächtiges Editor-Profil, sollte der Zustand zunächst dokumentiert werden. Danach sind Aktualisierung, Entfernung des fremden Profils, Prüfung der hochgeladenen Dateien, ein Malware-Scan und die Rotation relevanter Zugangsdaten sinnvoll. Dazu zählen Administrator-Konten, FTP- oder SFTP-Zugänge, Datenbankkennwörter und Hosting-Zugänge. Bei gemeinsam genutzten Passwörtern sollten auch andere Systeme überprüft werden.
Einordnung für Unternehmen
Die Schwachstelle ist kein Randthema für reine Joomla-Spezialisten. Viele Unternehmenswebsites laufen über Agenturen, Managed-Hosting-Pakete oder historisch gewachsene CMS-Installationen. Gerade dort ist nicht immer transparent, welche Erweiterungen installiert sind und wer Updates tatsächlich ausführt. Die Aufnahme in den CISA-KEV-Katalog erhöht die Priorität, weil sie auf bekannte Ausnutzung in der Praxis hinweist.
Für IT-Verantwortliche im DACH-Raum ist deshalb eine kurze Bestandsaufnahme sinnvoll: Gibt es noch Joomla-Sites, welche Erweiterungen sind aktiv, wer betreut Updates, und werden Webserver-Logs lange genug aufbewahrt? Wenn externe Dienstleister zuständig sind, sollte die konkrete JCE-Version abgefragt und die Bereinigung möglicher Kompromittierungen ausdrücklich mitbeauftragt werden. Ein reines „Update erledigt“ reicht bei dieser Art von Lücke nicht aus.
Passende Anleitungen auf S-EDV
- CISA KEV-Katalog für Admins – Wie der KEV-Katalog bei der Patch-Priorisierung hilft, auch für diese Lücke relevant.
- Linux-Server absichern: UFW-Firewall und Fail2ban – Grundlagen für härtere Webserver-Umgebungen.
- Security-Awareness-Programm für KMU aufbauen – Mitarbeiter sensibilisieren, damit Angriffe früher erkannt werden.
