Kritische AcyMailing Sicherheitslücke CVE-2026-94132 ermöglicht Remote Code Execution
Die AcyMailing Sicherheitslücke CVE-2026-94132 kann unter bestimmten Voraussetzungen dazu führen, dass ein Angreifer eine ausführbare PHP-Datei auf einem Joomla-Server speichert und anschließend ausführt. Die kritische Schwachstelle befindet sich in der Mailbox-Actions-Funktion von AcyMailing Enterprise und wird mit einem CVSS-4.0-Score von 9,5 Critical bewertet. AcyMailing-Versionen bis einschließlich 11.0.5 sind betroffen. Die Sicherheitskorrektur ist in AcyMailing 11.1.0 enthalten.
Für CVE-2026-94132 wurde inzwischen öffentliche Proof-of-Concept-Code veröffentlicht. Zusätzlich gibt es ein praktisches Problem für Joomla-Administratoren: Auf bestimmten Installationen kann die AcyMailing Update Site aus Joomla verschwunden sein. Eine verwundbare Installation kann dadurch fälschlicherweise melden, dass keine Aktualisierung verfügbar ist.
Vservs empfiehlt deshalb, die tatsächlich installierte AcyMailing-Version direkt zu kontrollieren und sich bei dieser Schwachstelle nicht ausschließlich auf die Joomla-Updateanzeige zu verlassen.
Was ist die AcyMailing Sicherheitslücke CVE-2026-94132?
CVE-2026-94132 ist eine Unrestricted-File-Upload-Schwachstelle in der Mailbox-Actions-Funktion von AcyMailing Enterprise für Joomla.
Mit Mailbox Actions kann AcyMailing eingehende E-Mails aus einer konfigurierten Mailbox verarbeiten und anhand dieser Nachrichten bestimmte Aktionen ausführen.
Nach den veröffentlichten Informationen wurden MIME-Bestandteile eingehender E-Mails in verwundbaren Versionen unter einem Pfad innerhalb von media/com_acym/upload/ gespeichert, ohne die Dateiendung ausreichend zu kontrollieren.
Dadurch kann jemand, der eine E-Mail an die überwachte Mailbox senden kann, unter den für die Schwachstelle erforderlichen Bedingungen eine Datei mit einer ausführbaren PHP-Endung in einen über das Web erreichbaren Bereich schreiben.
Kann diese Datei anschließend über HTTP aufgerufen und vom Webserver als PHP ausgeführt werden, entsteht Remote Code Execution.
Welche AcyMailing-Versionen sind verwundbar?
Die Joomla CNA nennt folgenden Versionsbereich für CVE-2026-94132:
- AcyMailing 1.0.0 bis einschließlich 11.0.5 – verwundbar
- AcyMailing 11.1.0 oder neuer – Sicherheitskorrektur vorhanden
AcyMailing veröffentlichte Version 11.1.0 am 24. September 2026. Im offiziellen Changelog wird die Behebung eines Sicherheitsproblems in einer bestimmten Mailbox-Actions-Situation bestätigt.
Administratoren sollten deshalb mindestens AcyMailing 11.1.0 einsetzen.
Wie kritisch ist CVE-2026-94132?
Die AcyMailing Sicherheitslücke wird mit einem CVSS-4.0-Score von 9,5 Critical bewertet.
Der veröffentlichte CVSS-Vektor vermeldet unter anderem:
- Attack Vector: Network;
- Attack Complexity: Low;
- Privileges Required: None;
- User Interaction: None;
- Confidentiality Impact: High;
- Integrity Impact: High;
- Availability Impact: High.
Der CVSS-4.0-Vektor bevat daarnaast AT:P: Attack Requirements Present. Dit is belangrijk, omdat niet iedere AcyMailing-installatie automatisch via internet kan worden overgenomen.
Welche Voraussetzungen müssen für einen Angriff erfüllt sein?
Die Schwachstelle befindet sich in einer spezifischen AcyMailing-Funktion. Für den bekannten Angriffsweg muss die betreffende Mailbox-Actions-Funktion verwendet werden.
Ein Angreifer muss außerdem eine Nachricht an die von AcyMailing überwachte Mailbox senden können.
Die Schwachstelle erfordert dagegen kein Joomla-Benutzerkonto und keine Interaktion eines Joomla-Administrators.
Wenn die verwundbare Mailbox-Konfiguration aktiv ist und hochgeladene PHP-Dateien in dem betreffenden Webverzeichnis ausgeführt werden können, kann die Sicherheitslücke zur Ausführung von Code unter den Rechten des PHP- beziehungsweise Webserverprozesses führen.
Was kann ein Angreifer nach erfolgreicher Ausnutzung erreichen?
Remote Code Execution innerhalb einer Joomla-Website kann schwerwiegende Folgen haben.
Abhängig von der Serverkonfiguration und den Dateisystemrechten kann ein Angreifer beispielsweise:
- eine Webshell oder andere Backdoor installieren;
- Joomla-Dateien verändern;
configuration.phpund darin enthaltene Zugangsdaten auslesen;- auf die Joomla-Datenbank zugreifen;
- Joomla-Benutzer und Super-User-Konten manipulieren;
- SMTP-, API- und andere Application Credentials auslesen;
- Malware oder schädlichen JavaScript-Code in die Website einfügen;
- weitere Persistenzmechanismen auf der Website einrichten.
Die tatsächlichen Möglichkeiten hängen von der Isolation des Hostingaccounts und den Berechtigungen des PHP-Prozesses ab.
Öffentliche Proof-of-Concept für CVE-2026-94132 verfügbar
Für CVE-2026-94132 ist inzwischen öffentliche Proof-of-Concept-Code verfügbar.
Damit sind technische Informationen zur Reproduktion des Angriffs öffentlich zugänglich. Dies senkt die Hürde für weitere Sicherheitsforscher, Scanner und potenzielle Angreifer, die Schwachstelle zu analysieren.
Eine öffentliche PoC ist jedoch nicht dasselbe wie bestätigte aktive Ausnutzung in freier Wildbahn.
Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige Bestätigung dafür gefunden, dass CVE-2026-94132 bereits aktiv gegen Joomla-Websites ausgenutzt wird.
Die aktuellen CISA-Vulnrichment-Daten zum CVE führen den Exploitation-Status ebenfalls als none.
Joomla kann das AcyMailing-Update möglicherweise nicht anzeigen
Zusätzlich zur eigentlichen AcyMailing Sicherheitslücke gibt es ein wichtiges Problem mit der Update-Erkennung innerhalb von Joomla.
Eine technische Untersuchung von mySites.guru zeigt, dass AcyMailing seine Update Site nicht über ein <updateservers>-Element im Joomla-Erweiterungsmanifest definiert. Stattdessen wird der Eintrag während Installation beziehungsweise Aktualisierung über PHP direkt in der Joomla-Datenbank angelegt.
Dies wird problematisch, wenn ein Administrator unter System → Update Sites die Joomla-Funktion Rebuild verwendet.
Joomla entfernt dabei nicht zum Core gehörende Update-Site-Einträge und rekonstruiert sie anschließend anhand der Erweiterungsmanifeste. Da das AcyMailing-Manifest den Update-Server nicht enthält, kann Joomla den entfernten Eintrag nicht wiederherstellen.
Eine ältere AcyMailing-Installation kann anschließend fälschlicherweise den Eindruck erwecken, vollständig aktuell zu sein.
Kontrollieren Sie deshalb die tatsächlich installierte Version
Administratoren sollten bei CVE-2026-94132 nicht ausschließlich darauf vertrauen, dass Joomla eine verfügbare AcyMailing-Aktualisierung meldet.
Kontrollieren Sie ausdrücklich die tatsächlich installierte AcyMailing-Version.
Wird eine Version bis einschließlich 11.0.5 verwendet und bietet Joomla kein Update an, sollte das aktuelle AcyMailing-Paket direkt über AcyMailing bezogen und über die bestehende Installation installiert werden.
AcyMailing sollte dabei nicht zuerst deinstalliert werden. Eine Installation des aktuellen Pakets über die bestehende Installation stellt laut der technischen Analyse auch den fehlenden Update-Site-Eintrag wieder her.
AcyMailing 11.1.0 behebt noch eine zweite Sicherheitslücke
Neben CVE-2026-94132 behebt AcyMailing 11.1.0 außerdem CVE-2026-94131.
Diese zweite Schwachstelle betrifft File-Type Custom Fields und kann unter bestimmten Bedingungen dazu führen, dass ein Benutzer Dateien außerhalb des vorgesehenen Upload-Verzeichnisses löscht.
CVE-2026-94131 wird mit CVSS 8,3 High bewertet.
Ein Update auf AcyMailing 11.1.0 behebt somit zwei relevante Sicherheitsprobleme.
Was sollten Joomla-Administratoren jetzt tun?
- Die tatsächlich installierte AcyMailing-Version kontrollieren.
- AcyMailing bis einschließlich 11.0.5 auf Version 11.1.0 oder neuer aktualisieren.
- Nicht ausschließlich auf die Joomla-Anzeige „Keine Updates verfügbar“ vertrauen.
- Falls Joomla 11.1.0 nicht anbietet, das aktuelle AcyMailing-Paket direkt beziehen und über die bestehende Installation installieren.
- AcyMailing nicht zuerst deinstallieren.
- Prüfen, ob Mailbox Actions beziehungsweise Bounce Handling verwendet werden.
- Kontrollieren, welche Mailboxen von AcyMailing überwacht werden.
- Nach dem Update prüfen, ob verwendete AcyMailing-Add-ons weiterhin korrekt funktionieren.
Temporäre Maßnahmen, wenn ein Update nicht sofort möglich ist
Kann AcyMailing nicht unmittelbar aktualisiert werden, sollte die betroffene Mailbox-Actions-Funktion deaktiviert oder so konfiguriert werden, dass der verwundbare Angriffsweg nicht mehr erreichbar ist.
Zusätzlich kann serverseitig verhindert werden, dass PHP-Dateien innerhalb des AcyMailing-Upload-Verzeichnisses ausgeführt werden.
Diese Maßnahmen können die Angriffsfläche reduzieren, sind aber kein dauerhafter Ersatz für die Installation der Sicherheitsversion 11.1.0 oder neuer.
Website auf mögliche Kompromittierung prüfen
Joomla-Websites, die eine verwundbare AcyMailing-Version mit aktiven Mailbox Actions betrieben haben, sollten zusätzlich kontrolliert werden.
Besonders relevant sind:
- unbekannte PHP-Dateien unter
media/com_acym/; - PHP-, PHTML- oder andere ausführbare Dateien in AcyMailing-Uploadverzeichnissen;
- kürzlich erstellte oder unerwartet veränderte PHP-Dateien;
- Webserver-Requests auf unbekannte Dateien unter AcyMailing-Pfaden;
- ungewöhnliche E-Mails oder Anhänge in der überwachten Mailbox;
- unbekannte Joomla-Super-User-Konten;
- unerwartete Änderungen an Joomla-Erweiterungen oder Templates;
- unbekannte geplante Aufgaben oder andere Persistenzmechanismen.
Serveradministratoren können beispielsweise gezielt nach PHP-Dateien unter dem AcyMailing-Medienverzeichnis suchen:
find media/com_acym -type f \( -iname '*.php' -o -iname '*.phtml' -o -iname '*.phar' \) -ls
Das Vorhandensein einer PHP-Datei allein beweist noch nicht automatisch einen Angriff, da legitime Dateien abhängig von der Installation vorhanden sein können. Unbekannte oder kürzlich hinzugefügte ausführbare Dateien sollten jedoch untersucht werden.
Was tun, wenn eine unbekannte PHP-Datei gefunden wird?
Wird eine unbekannte Webshell, Backdoor oder andere nicht autorisierte PHP-Datei gefunden, reicht ein einfaches Update von AcyMailing nicht mehr aus.
Die Joomla-Installation sollte dann als potenziell kompromittiert behandelt werden.
Kontrollieren Sie Joomla Core, Erweiterungen, Templates, Benutzerkonten, Datenbank, geplante Aufgaben und relevante Serverlogs. Dateien sollten nach Möglichkeit mit vertrauenswürdigen Originalversionen verglichen werden.
Zugangsdaten, die aus der kompromittierten Joomla-Umgebung erreichbar waren, sollten nach Wiederherstellung der Integrität ebenfalls geändert werden. Dazu können Datenbank-, SMTP-, API- und Administratorzugangsdaten gehören.
Managed VPS bei Vservs
Der Fall CVE-2026-94132 zeigt, dass die Anzeige eines CMS, alle Erweiterungen seien aktuell, nicht in jeder Situation garantiert, dass tatsächlich jede verfügbare Sicherheitsversion installiert ist.
Mit einem Managed VPS von Vservs übernehmen wir unter anderem technische Serververwaltung, relevante Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.
Bei Unmanaged Hosting und Unmanaged VPS-Servern bleibt die Kontrolle und Installation von CMS-, Erweiterungs- und Server-Sicherheitsupdates in der Verantwortung des Administrators.
Zusammenfassung
- Schwachstelle: CVE-2026-94132
- Software: AcyMailing Enterprise für Joomla
- Typ: Unrestricted Upload of File with Dangerous Type / Remote Code Execution
- CVSS: 9,5 Critical
- Betroffene Versionen: 1.0.0 bis einschließlich 11.0.5
- Abgesicherte Version: 11.1.0 oder neuer
- Authentifizierung erforderlich: kein Joomla-Konto erforderlich
- Angriffsvoraussetzung: verwundbare Mailbox-Actions-Konfiguration und Möglichkeit, die überwachte Mailbox per E-Mail zu erreichen
- Öffentliche PoC: ja
- Aktive Ausnutzung: derzeit nicht bestätigt
- Zusätzlich behoben: CVE-2026-94131, File Deletion, CVSS 8,3 High
- Besonderes Risiko: Joomla kann das verfügbare AcyMailing-Update möglicherweise nicht anzeigen