Seit Juni 2026 greifen automatisierte Botnetze gezielt Joomla-Websites über kritische Lücken in verbreiteten Erweiterungen an – darunter JCE, SP Page Builder und Helix3, teils mit dem Höchstwert CVSS 10.0. Mehrere Schwachstellen werden laut CISA aktiv ausgenutzt. Ein bloßes Update schließt zwar die Einfallstür, entfernt aber nicht den bereits eingeschleusten Schadcode. sketch.media bereinigt infizierte Joomla-Seiten professionell, härtet sie ab und schützt sie dauerhaft per Wartung und Backup.
- Über ein Dutzend kritische Lücken in verbreiteten Joomla-Erweiterungen (JCE, SP Page Builder, Helix3 u. v. m.) – teils mit dem Höchstwert CVSS 10.0.
- Mehrere davon werden laut CISA aktiv ausgenutzt.
- Ein Update allein genügt nicht – bereits infizierte Seiten müssen professionell bereinigt werden.
- sketch.media bereinigt, härtet ab und schützt dauerhaft per Wartung & Backup.
Seit Juni 2026 rollt eine beispiellose Angriffswelle über Joomla-Websites. Automatisierte Bots suchen gezielt nach bekannten Schwachstellen in weit verbreiteten Erweiterungen. Wer diese Komponenten einsetzt und nicht rechtzeitig aktualisiert hat, ist mit hoher Wahrscheinlichkeit bereits betroffen oder akut gefährdet. Wir bei sketch.media bereinigen deine Website professionell und sichern sie anschließend nachhaltig ab.
Warum sind Joomla-Erweiterungen gerade jetzt im Visier?
Page Builder, Editoren und Formular-Komponenten laufen auf zehntausenden Joomla-Websites – genau das macht sie für Angreifer so attraktiv. Im Sommer 2026 wurden durch koordinierte Sicherheitsforschungen (u. a. von mySites.guru) weit über ein Dutzend kritischer Sicherheitslücken in den bekanntesten Erweiterungen des gesamten Joomla-Ecosystems aufgedeckt.
Viele dieser Schwachstellen ermöglichen die komplette Übernahme des Webservers — ganz ohne vorherigen Login. — Sicherheitsforschung mySites.guru, Sommer 2026
Die US-Cybersecurity-Behörde CISA hat mehrere dieser Schwachstellen aufgrund akuter Ausnutzung in ihren offiziellen Katalog der aktiv ausgenutzten Sicherheitslücken (Known Exploited Vulnerabilities) aufgenommen. Für automatisierte Botnetze bedeutet das: freie Bahn, sobald ein System ungepatcht online steht.
Die Hauptprobanden der aktuellen Angriffswelle
1. JCE – Joomla Content Editor (CVE-2026-48907)
Der beliebte Editor JCE enthielt eine Schwachstelle mit dem höchstmöglichen Schweregrad (CVSS 10.0). Über eine unzureichende Zugriffskontrolle konnten Angreifer ohne Anmeldung neue Editor-Profile anlegen und über die Import-Funktion beliebigen PHP-Code hochladen und ausführen. Behoben wurde die Lücke in JCE 2.9.99.5; empfohlen wird inzwischen mindestens Version 2.9.99.8.
2. SP Page Builder (CVE-2026-48908)
Im weit verbreiteten SP Page Builder von JoomShaper erlaubte die Funktion uploadCustomIcon einen unauthentifizierten Datei-Upload (CVSS 10.0) und damit Remote Code Execution. Ein typisches Warnzeichen: versteckte Super-User-Konten mit harmlos klingenden Namen wie „Web Editor" oder „Admin Backup", deren E-Mail häufig auf @secure.local endet. Betroffen sind alle Versionen bis 6.6.1 – der Fix steckt in Version 6.6.2.
3. Helix3 – „Hacked by AntonKill" (CVE-2026-49049)
Seit Anfang Juli 2026 greift ein Botnetz gezielt Joomla-Websites mit veraltetem Helix3-Framework an. Über den Standard-Endpunkt com_ajax kann ohne Login Schadcode eingeschleust werden — dieser landet nicht in einer Datei, sondern direkt in der Datenbank. Beim nächsten Seitenaufruf sehen Besucher eine dunkle Vollbildseite mit Totenkopf und dem Schriftzug „Hacked by AntonKill". Der Fix ist als Helix3 3.1.1 verfügbar.
Weitere aktuelle Bedrohungen & Sicherheitslücken
Die Angriffe beschränken sich längst nicht auf die drei genannten Erweiterungen. Prüf deine Installationen umgehend auf diese Versionen:
| Erweiterung | Bedrohung | CVSS | Auswirkung |
|---|---|---|---|
| RSFiles! | Unauth. Datei-Upload → RCE (CVE-2026-57827) | 10.0 | Kritisch. Codeausführung ohne Anmeldung. |
| Balbooa Forms | Unauth. Datei-Upload → RCE (CVE-2026-56291) | 10.0 | Kritisch. Von CISA als aktiv ausgenutzt gelistet. |
| PageBuilder CK | Unauth. Datei-Upload → RCE (CVE-2026-56290) | 10.0 | Kritisch. Von CISA als aktiv ausgenutzt gelistet. |
| iCagenda | Unauth. Datei-Upload → RCE (CVE-2026-48939) | 9.8 | Kritisch. Von CISA als aktiv ausgenutzt gelistet. |
| Phoca Download | Authentifizierter Upload → RCE (CVE-2026-57828) | 9.0 | Hoch. Codeausführung über kompromittierte Konten. |
| AcyMailing | Unauth. SQL-Injektion (CVE-2026-56292) | 8.7 | Hoch. Auslesen der Datenbank inkl. Passwörter. |
| DPCalendar | Unauth. SQL-Injektion (CVE-2026-57831) | 8.7 | Hoch. Datenbank-Zugriff ohne Login. |
| EDocman | Unauth. SQL-Injektion (CVE-2026-57832) | 8.7 | Hoch. Kompromittierung von Tabelleninhalten. |
| Quix Page Builder | Unauth. SQL-Injektion (CVE-2026-58078) | 8.7 | Hoch. Abgreifen sensitiver Datenbankinhalte. |
| Helix Ultimate | Unauth. Menü-Write → Stored XSS | Hoch | Dauerhaftes Einschleusen bösartiger Skripte. |
Woran erkenne ich, dass meine Website befallen ist?
Unsere Joomla-Virenbereinigung – Schritt für Schritt
Als spezialisierte Joomla-Agentur mit über zehn Jahren Erfahrung und mehr als 400 Kunden wissen wir genau, wo sich diese Angriffe verstecken. So gehen wir vor:
- Analyse. Wir prüfen alle Core-Dateien, die Datenbank und die Benutzerkonten und identifizieren Befall sowie Einfallstor.
- Sicherung. Wir erstellen ein forensisches Backup des Ist-Zustands, um Beweise und Daten vor dem Eingriff zu sichern.
- Bereinigung. Wir entfernen sämtlichen Schadcode, versteckte Webshells, illegitime Super-User und manipulierte Template-Einträge restlos.
- Update & Härtung. Wir aktualisieren Joomla sowie alle Erweiterungen auf die sicheren Versionen.
- Absicherung. Passwörter und DB-Zugänge werden erneuert, Dateiberechtigungen restriktiv gesetzt, Schutzmaßnahmen (z. B. .htaccess-Härtung) eingerichtet.
- Kontrolle. Ein abschließender Tiefen-Scan garantiert die vollständige Virenfreiheit.
Damit es nicht wieder passiert: Wartung & Backups
Die zuverlässigste Absicherung gegen zukünftige Angriffswellen ist die kontinuierliche Pflege. Mit unserem Joomla-Wartungs- und Backup-Service spielen wir Sicherheitsupdates zeitnah nach dem Release ein, überwachen deine Installation und sorgen dafür, dass im Ernstfall immer ein sauberes, externes Backup bereitsteht. Auf Wunsch übernehmen wir auch gleich ein sicheres Hosting aus Deutschland.
Jetzt professionelle Virenbereinigung anfragen
Ob akuter Notfall, infizierte Seite oder vorsorgliche Prüfung deiner Erweiterungen – wir sind schnell für dich da und beraten dich offen, transparent und fair.
Telefonzeiten: Mo–Do 9–12 & 13–16 Uhr, Fr 9–14 Uhr.