Joomla 5.4.9 und 6.1.4 beheben 16 Sicherheitslücken, darunter SSRF und MFA-Bypass
Das Joomla Sicherheitsupdate 5.4.9 und 6.1.4 behebt insgesamt 16 Sicherheitslücken in Joomla Core. Die Aktualisierung schließt zwei Schwachstellen mit High Severity, mehrere Probleme bei der Zugriffskontrolle, verschiedene Cross-Site-Scripting-Schwachstellen, eine Möglichkeit zur nicht autorisierten Kontoerstellung sowie einen neuen Weg zur Umgehung der Multi-Faktor-Authentifizierung.
Die Sicherheitsversionen wurden am 29. September 2026 veröffentlicht. Websites mit Joomla 5 bis einschließlich 5.4.8 beziehungsweise Joomla 6 bis einschließlich 6.1.3 sollten auf Joomla 5.4.9 beziehungsweise Joomla 6.1.4 aktualisiert werden.
Nicht alle 16 Schwachstellen haben die gleiche technische Auswirkung. Die Kombination aus SSRF, möglicher Directory Deletion, Authentifizierungsproblemen und fehlerhaften Zugriffskontrollen macht dieses Joomla Sicherheitsupdate jedoch für Administratoren besonders relevant.
Welche Joomla-Versionen sollten installiert werden?
Das Joomla Sicherheitsupdate steht in folgenden Versionen zur Verfügung:
- Joomla 5.4.9 oder neuer – Sicherheitskorrekturen enthalten
- Joomla 6.1.4 oder neuer – Sicherheitskorrekturen enthalten
Die einzelnen Sicherheitslücken haben nicht alle exakt denselben betroffenen Versionsbereich. Mehrere Probleme betreffen Joomla 4.0.0 bis einschließlich 5.4.8 sowie Joomla 6.0.0 bis einschließlich 6.1.3. Einige Schwachstellen reichen jedoch bis in ältere Joomla-Versionen zurück.
Websites, die noch Joomla 3 oder nicht mehr unterstützte Joomla-4-Versionen verwenden, sollten das Fehlen eines neuen Updates für ihren Versionszweig nicht als Hinweis darauf betrachten, dass die Installation sicher ist. Für solche Installationen sollte eine Migration auf eine aktuell unterstützte Joomla-Version geplant werden.
Zwei High-Severity-Schwachstellen in Joomla Core
Zwei der insgesamt 16 Sicherheitsprobleme werden vom Joomla Project mit High Severity und High Impact eingestuft.
CVE-2026-90915 – beliebige Verzeichnisse durch Path Traversal löschen
CVE-2026-90915 betrifft die Cache-Purge-Funktion von Joomla. Der Name einer Cache-Gruppe wurde nicht ausreichend validiert, bevor dieser für Dateisystemoperationen verwendet wurde.
Unter den verwundbaren Bedingungen kann ein Angreifer mittels Path Traversal beeinflussen, welches Verzeichnis Joomla zu löschen versucht.
Eine erfolgreiche Ausnutzung kann deshalb dazu führen, dass Verzeichnisse außerhalb des vorgesehenen Joomla-Cache-Verzeichnisses gelöscht werden.
Das Joomla Project nennt Joomla 4.0.0 bis einschließlich 5.4.8 und Joomla 6.0.0 bis einschließlich 6.1.3 als betroffen.
CVE-2026-92222 – Server-Side Request Forgery
CVE-2026-92222 ist eine Server-Side-Request-Forgery-Schwachstelle in der URL-Validierung verschiedener Joomla-Core-Erweiterungen.
Bei Server-Side Request Forgery, kurz SSRF, kann ein Angreifer Netzwerkrequests beeinflussen, die vom Server selbst ausgeführt werden.
Dies kann sicherheitsrelevant sein, weil ein Joomla-Server unter Umständen Systeme, Dienste oder Netzwerkbereiche erreichen kann, die nicht direkt aus dem öffentlichen Internet erreichbar sind.
Die tatsächlichen Auswirkungen hängen von der Netzwerkumgebung, der Serverkonfiguration und den vom Joomla-Server erreichbaren Diensten ab.
Joomla Sicherheitsupdate behebt MFA-Bypass
CVE-2026-92227 betrifft die Remember-Me-Funktion von Joomla und die Multi-Faktor-Authentifizierung.
Laut Joomla konnte ein Remember-Me-Cookie zu früh innerhalb des Authentifizierungsprozesses ausgegeben werden. Unter den betroffenen Bedingungen konnte dadurch bei einer späteren Frontend-Anmeldung die Multi-Faktor-Authentifizierung umgangen werden.
Dies bedeutet nicht, dass ein Angreifer automatisch ohne gültigen Benutzernamen und Passwort auf ein Joomla-Konto zugreifen kann. Die primäre Authentifizierung bleibt relevant.
Die MFA soll jedoch gerade eine zusätzliche Schutzschicht bieten, wenn ein Passwort kompromittiert wurde. Eine Möglichkeit, diesen zweiten Faktor zu umgehen, reduziert deshalb eine wichtige Sicherheitsbarriere.
Kontoerstellung trotz deaktivierter Benutzerregistrierung
CVE-2026-90907 betrifft den profile.save-Controller.
Laut Joomla wurde der Loginstatus nicht ausreichend geprüft. Dadurch konnte ein Besucher unter den verwundbaren Bedingungen ein Benutzerkonto auf Guest-Level erstellen, obwohl die öffentliche Benutzerregistrierung durch den Administrator deaktiviert war.
Ein Guest-Konto ist nicht mit einem Joomla-Super-User-Konto gleichzusetzen und die Schwachstelle sollte deshalb nicht als unmittelbare Administratorübernahme beschrieben werden.
Die nicht autorisierte Kontoerstellung umgeht jedoch ausdrücklich eine Sicherheits- und Konfigurationsentscheidung des Website-Administrators.
Weitere Sicherheitslücken in Joomla 5.4.9 und 6.1.4
Das Joomla Sicherheitsupdate behebt zusätzlich mehrere weitere Probleme in Joomla Core.
Dazu gehören Schwachstellen im Zusammenhang mit:
- Cross-Site Scripting in verschiedenen Joomla-Core-Layouts;
- unzureichenden ACL-Prüfungen in Webservice-Endpunkten;
- nicht autorisierten Editieraktionen über Webservices;
- Zugriff auf Inhalte, die durch Joomla-ACL-Regeln eingeschränkt sein sollten;
- unzureichendem Escaping in HTML-E-Mail-Templates und anderer Ausgabe;
- weiteren Authentifizierungs- und Autorisierungsprüfungen innerhalb von Joomla Core.
Nicht jede Joomla-Website stellt alle betroffenen Funktionen in gleicher Weise zur Verfügung. Das praktische Risiko hängt deshalb unter anderem von der Website-Konfiguration, den verwendeten Funktionen und dem Einsatz der Joomla Web Services API ab.
Werden die neuen Joomla-Sicherheitslücken aktiv ausgenutzt?
Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige Bestätigung dafür gefunden, dass die mit Joomla 5.4.9 und 6.1.4 behobenen neuen Core-Schwachstellen aktiv in freier Wildbahn ausgenutzt werden.
Das Joomla Project meldet in den zu dieser Veröffentlichung geprüften Security Advisories ebenfalls keine bestätigte aktive Ausnutzung.
Auch für die beiden High-Severity-Schwachstellen gibt es derzeit keine zuverlässigen öffentlichen Hinweise auf eine breit angelegte Angriffskampagne.
Dies ist jedoch kein Grund, das Update aufzuschieben. Die Sicherheitskorrekturen sind verfügbar und technische Informationen zu den Schwachstellen sind inzwischen öffentlich dokumentiert.
Wichtig: bekanntes Problem mit Joomla 5.4.9 und der Web Services API
Administratoren von Joomla 5 sollten zusätzlich eine separate, nicht sicherheitsrelevante Regression in Joomla 5.4.9 beachten.
Das Joomla Project hat gemeldet, dass PATCH-Requests über die Web Services API unter Joomla 5.4.9 einen Fatal Error verursachen können.
Joomla 6.1.4 ist von diesem speziellen Problem nicht betroffen.
Joomla-5-Websites, die intensiv PATCH-Requests über die Web Services API verwenden, sollten deshalb die offiziellen Joomla-Informationen und den verfügbaren Workaround in die Updateplanung einbeziehen.
Dieses bekannte Problem sollte nicht als Grund betrachtet werden, eine verwundbare Joomla-Installation dauerhaft ungepatcht zu lassen. Stattdessen sollten API-Tests und der dokumentierte Workaround Bestandteil des Updateprozesses sein.
Was sollten Joomla-Administratoren jetzt tun?
- Vor dem Update eine vollständige Sicherung der Joomla-Dateien und Datenbank erstellen.
- Joomla-5-Installationen auf Joomla 5.4.9 oder neuer aktualisieren.
- Joomla-6-Installationen auf Joomla 6.1.4 oder neuer aktualisieren.
- Kontrollieren, ob das Update erfolgreich abgeschlossen wurde.
- Frontend und Joomla Administrator nach dem Update testen.
- Web-Services-API-Integrationen überprüfen, sofern diese verwendet werden.
- Joomla-Benutzerkonten und Benutzergruppen auf unerwartete Änderungen kontrollieren.
- Server- und Joomla-Logs auf ungewöhnliche Zugriffe oder Fehler prüfen.
- Für Websites mit nicht mehr unterstützten Joomla-Versionen eine Migration planen.
Website auf eine mögliche Kompromittierung prüfen
Da dieses Joomla Sicherheitsupdate 16 unterschiedliche Schwachstellen behebt, gibt es keinen einzelnen universellen Indicator of Compromise, mit dem sich die Ausnutzung aller Probleme zuverlässig nachweisen lässt.
Abhängig von den auf der Website verwendeten Funktionen sollten Administratoren insbesondere folgende Punkte überprüfen:
- unbekannte Joomla-Benutzerkonten;
- unerwartete Guest-, Administrator- oder Super-User-Konten;
- unerwartete Änderungen an Joomla-Benutzergruppen und ACL-Konfigurationen;
- unerklärlich fehlende Verzeichnisse oder Dateien;
- ungewöhnliche Requests an Joomla-Web-Services-API-Endpunkte;
- unerwartete ausgehende Netzwerkrequests von PHP oder Joomla;
- auffällige Remember-Me-Authentifizierungsaktivitäten;
- unerwartete Änderungen an Joomla-Core-Dateien;
- neue oder geänderte Erweiterungen, die keinem Administrator zugeordnet werden können;
- ungewöhnliche administrative Aktivitäten aus dem Zeitraum vor dem Update.
Ein ungewöhnlicher Request, ein unbekanntes Konto oder eine Dateisystemänderung beweist für sich allein noch keine erfolgreiche Ausnutzung einer dieser Schwachstellen. Auffälligkeiten sollten mit Access-Logs, Joomla-Aktivitäten, Datenbankänderungen und Dateisystem-Zeitstempeln abgeglichen werden.
Was tun, wenn verdächtige Aktivitäten gefunden werden?
Wird ein unbekanntes privilegiertes Konto, eine nicht erklärte Dateisystemänderung oder ein anderer deutlicher Hinweis auf nicht autorisierten Zugriff entdeckt, reicht das einfache Installieren von Joomla 5.4.9 oder 6.1.4 nicht mehr aus.
Die Joomla-Installation sollte dann als potenziell kompromittiert behandelt werden.
Joomla Core, Erweiterungen, Templates, Benutzerkonten, geplante Aufgaben und relevante Server-Logs sollten überprüft werden. Anwendungsdateien sollten, wo möglich, mit vertrauenswürdigen Originaldateien verglichen werden.
Zugangsdaten, auf die aus der betroffenen Joomla-Umgebung zugegriffen werden konnte, sollten ebenfalls kontrolliert und nach Wiederherstellung der Integrität gegebenenfalls geändert werden.
Warum dieses Joomla Sicherheitsupdate besondere Aufmerksamkeit verdient
Eine Security-Version mit 16 Korrekturen bedeutet nicht automatisch, dass jede Joomla-Website gleichzeitig über 16 direkt ausnutzbare Angriffswege verfügte.
Die behobenen Schwachstellen betreffen jedoch mehrere wichtige Sicherheitsgrenzen: Dateisystemzugriff, serverseitige Netzwerkrequests, Authentifizierung, Multi-Faktor-Authentifizierung, Benutzerkontoerstellung und das Joomla-Zugriffskontrollsystem.
Die Kombination aus zwei High-Severity-Problemen und mehreren zusätzlichen Autorisierungs- und XSS-Schwachstellen macht eine zeitnahe Aktualisierung sinnvoll, auch wenn derzeit keine aktive Ausnutzung bestätigt ist.
Managed VPS bei Vservs
Die Absicherung eines Content-Management-Systems besteht nicht nur aus Updates für Erweiterungen. Auch Joomla Core und die zugrunde liegende Serverumgebung müssen aktuell gehalten und technisch gepflegt werden.
Mit einem Managed VPS von Vservs übernehmen wir unter anderem die technische Serververwaltung, relevante Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.
Bei Unmanaged Hosting und Unmanaged VPS-Servern bleibt die Kontrolle und Installation von CMS-, Erweiterungs- und Server-Sicherheitsupdates in der Verantwortung des Administrators.
Zusammenfassung
- Software: Joomla Core
- Anzahl der Sicherheitskorrekturen: 16
- Wichtige High-Severity-Schwachstellen: CVE-2026-90915 und CVE-2026-92222
- Weitere wichtige Probleme: MFA-Bypass, nicht autorisierte Kontoerstellung, XSS und ACL-Schwachstellen
- Abgesicherte Joomla-5-Version: 5.4.9 oder neuer
- Abgesicherte Joomla-6-Version: 6.1.4 oder neuer
- Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht zuverlässig bestätigt
- Empfehlung: Joomla aktualisieren und Website-Funktionalität anschließend überprüfen