Joomla 6.1.4 und 5.4.9 beheben SSRF, MFA-Bypass und mehrere Core-Sicherheitslücken

Das Joomla Sicherheitsupdate 6.1.4 und Joomla 5.4.9 behebt insgesamt 16 Sicherheitslücken in Joomla Core, darunter Server-Side Request Forgery, beliebiges Löschen von Verzeichnissen durch Path Traversal, einen MFA-Bypass sowie mehrere Probleme bei der Zugriffskontrolle. Das Joomla Project hat beide abgesicherten Versionen am 29. September 2026 veröffentlicht.

Mehrere der behobenen Schwachstellen haben einen hohen technischen Impact. Weitere Probleme betreffen Authentifizierung, Autorisierung und Cross-Site-Scripting-Schutz innerhalb von Joomla Core.

Administratoren mit Joomla 5 sollten auf Joomla 5.4.9 aktualisieren. Joomla-6-Installationen sollten auf Joomla 6.1.4 aktualisiert werden.

Was behebt das Joomla Sicherheitsupdate?

Das Joomla Sicherheitsupdate enthält insgesamt 16 Security-Fixes in verschiedenen Bereichen von Joomla Core.

Zu den wichtigsten Schwachstellen gehören:

• CVE-2026-90915: beliebiges Löschen von Verzeichnissen durch Path Traversal in der Cache-Purge-Funktion;
• CVE-2026-92222: Server-Side Request Forgery in verschiedenen Joomla-Core-Erweiterungen;
• CVE-2026-92227: Umgehung der Multi-Faktor-Authentifizierung durch zu früh ausgegebene Remember-Me-Cookies;
• CVE-2026-92226: unzureichende ACL-Prüfungen bei verschiedenen Web-Services-Editieraktionen;
• nicht autorisierte Erstellung von Benutzerkonten unter bestimmten Voraussetzungen;
• mehrere Cross-Site-Scripting-Schwachstellen;
• weitere Fehler bei der Zugriffskontrolle innerhalb von Joomla Core.

Der genaue betroffene Versionsbereich unterscheidet sich je nach Schwachstelle. Mehrere der wichtigsten Probleme betreffen Joomla 4.0.0 bis 5.4.8 sowie Joomla 6.0.0 bis 6.1.3.

CVE-2026-90915: Verzeichnisse durch Path Traversal löschen

CVE-2026-90915 betrifft die Cache-Purge-Funktion von Joomla und wird vom Joomla Project mit High Impact und High Severity bewertet.

Der Name einer Cache-Gruppe wurde nicht ausreichend validiert, bevor er für Dateisystemoperationen verwendet wurde.

Dadurch war Path Traversal innerhalb des Cache-Layers möglich. Unter den betroffenen Bedingungen konnten Verzeichnisse außerhalb des vorgesehenen Cache-Verzeichnisses gelöscht werden.

Das Joomla Project nennt folgende Installationen als betroffen:

• Joomla 4.0.0 bis einschließlich 5.4.8;
• Joomla 6.0.0 bis einschließlich 6.1.3.

Die Schwachstelle wurde in Joomla 5.4.9 und Joomla 6.1.4 behoben.

CVE-2026-92222: Server-Side Request Forgery in Joomla Core

CVE-2026-92222 ist eine weitere High-Severity-Schwachstelle, die mit dem Joomla Sicherheitsupdate behoben wurde.

URLs, die von verschiedenen Joomla-Core-Erweiterungen für serverseitige Requests verwendet werden, wurden nicht ausreichend validiert. Dadurch entstanden Server-Side-Request-Forgery-Angriffsvektoren.

Bei SSRF kann ein Angreifer beeinflussen, welche Netzwerkrequests vom Joomla-Server selbst ausgeführt werden.

Das ist sicherheitsrelevant, weil der Webserver möglicherweise Netzwerkziele erreichen kann, die aus dem öffentlichen Internet nicht direkt erreichbar sind.

Abhängig von der Hosting- und Netzwerkumgebung können beispielsweise folgende Ziele relevant sein:

• interne HTTP-Dienste;
• Anwendungen auf privaten IP-Adressen;
• Dienste auf localhost;
• interne Management-Endpunkte;
• Cloud-Metadata-Dienste, sofern diese in der Umgebung vorhanden und erreichbar sind.

Die tatsächliche Auswirkung hängt deshalb von der Netzwerkarchitektur und den vom Joomla-Server erreichbaren Diensten ab.

Joomla bewertet CVE-2026-92222 mit High Severity und High Impact. Die Exploit Probability wird als Low eingestuft.

CVE-2026-92227 kann Multi-Faktor-Authentifizierung umgehen

CVE-2026-92227 betrifft die Remember-Me-Funktion von Joomla in Kombination mit der Multi-Faktor-Authentifizierung.

Laut Joomla konnte ein Remember-Me-Cookie zu früh innerhalb des Authentifizierungsprozesses ausgegeben werden.

Unter den betroffenen Bedingungen konnte dadurch bei einer späteren Frontend-Anmeldung die MFA-Prüfung umgangen werden.

Dies bedeutet nicht, dass ein beliebiger nicht authentifizierter Besucher automatisch auf ein Joomla-Konto zugreifen kann.

Die primäre Authentifizierung bleibt relevant. MFA soll jedoch gerade eine zusätzliche Sicherheitsbarriere darstellen, wenn ein Passwort bereits kompromittiert wurde.

Eine Möglichkeit, diesen zweiten Faktor zu umgehen, schwächt deshalb einen wichtigen Schutzmechanismus für Benutzer- und Administratorkonten.

Joomla bewertet den Impact als High, die Severity als Moderate und die Exploit Probability als Moderate.

CVE-2026-92226: unzureichende Zugriffskontrolle

CVE-2026-92226 betrifft ACL-Prüfungen bei verschiedenen Editieraktionen über die Joomla Web Services.

Unzureichende Zugriffskontrollen konnten dazu führen, dass Benutzer Änderungen an Objekten durchführen konnten, für die sie entsprechend ihrer zugewiesenen Berechtigungen eigentlich keine Editierrechte besitzen sollten.

Diese Schwachstelle ist insbesondere für Joomla-Websites und Integrationen relevant, die die Web Services API verwenden.

Joomla bewertet CVE-2026-92226 mit Moderate Severity und High Impact.

Auch nicht autorisierte Benutzerkontoerstellung behoben

Die Securityrelease behebt außerdem eine Schwachstelle im profile.save-Controller, über die unter bestimmten Bedingungen nicht autorisierte Benutzerkonten erstellt werden konnten.

Der Loginstatus wurde nicht ausreichend überprüft. Dadurch konnte ein Besucher ein Benutzerkonto auf Guest-Level erstellen, obwohl die öffentliche Benutzerregistrierung vom Administrator deaktiviert war.

Ein Guest-Konto ist nicht mit einem Joomla-Super-User-Konto gleichzusetzen. Die Schwachstelle umgeht jedoch eine ausdrückliche Sicherheits- und Konfigurationsentscheidung des Website-Administrators.

Mehrere Cross-Site-Scripting-Schwachstellen

Das Joomla Sicherheitsupdate behebt zusätzlich mehrere Cross-Site-Scripting-Probleme in Joomla Core.

Dazu gehören Schwachstellen in Zusammenhang mit:

• der Methode HTMLHelper::link;
• generischen Media-Output-Layouts;
• HTML-E-Mail-Templates;
• dem Link-Toolbar-Layout;
• Modullisten;
• Joomlas InputFilter und der Verarbeitung von HTML5-Entities;
• HTML-Data-URIs mit ungewöhnlichen Whitespace-Zeichen.

Nicht jede dieser Schwachstellen ist auf jeder Joomla-Installation gleichermaßen erreichbar. Die praktische Angriffsfläche hängt von den aktivierten Funktionen, Benutzerrechten und der Website-Konfiguration ab.

Welche Joomla-Versionen müssen aktualisiert werden?

• Joomla 5.x bis einschließlich 5.4.8 – von einer oder mehreren Schwachstellen betroffen
• Joomla 5.4.9 – Security-Fixes vorhanden
• Joomla 6.x bis einschließlich 6.1.3 – von einer oder mehreren Schwachstellen betroffen
• Joomla 6.1.4 – Security-Fixes vorhanden

Einige einzelne Schwachstellen reichen außerdem bis in ältere Joomla-Versionen zurück.

Websites auf nicht mehr unterstützten Joomla-Versionen sollten das Fehlen eines neuen Updates für ihren Versionszweig nicht als Hinweis darauf interpretieren, dass die Installation sicher ist. Für solche Systeme sollte eine Migration auf eine aktuell unterstützte Joomla-Version geplant werden.

Joomla-5-Nutzer müssen wegen dieser Security-Fixes nicht sofort auf Joomla 6 migrieren

Administratoren mit Joomla 5.4 müssen nicht allein aufgrund dieser Schwachstellen ein Major-Upgrade auf Joomla 6 durchführen.

Joomla 5.4.9 enthält die relevanten Security-Fixes für den Joomla-5-Zweig.

Eine Migration auf Joomla 6 kann separat geplant und zunächst auf Kompatibilität mit Erweiterungen, Templates und individuellen Integrationen getestet werden.

Wichtig: bekanntes Web-Services-API-Problem in Joomla 5.4.9

Das Joomla Project hat eine separate funktionale Regression in Joomla 5.4.9 dokumentiert.

PATCH-Requests über die Web Services API können mit einem Fatal Error fehlschlagen, wenn beispielsweise ein Banner oder ein Benutzer über die API aktualisiert werden soll.

Joomla hat hierfür einen offiziellen Workaround veröffentlicht. Die dauerhafte Korrektur soll in Joomla 5.4.10 enthalten sein.

Joomla 6.1.4 ist von dieser spezifischen Regression nicht betroffen.

Joomla-5-Websites, die Web-Services-API-PATCH-Requests verwenden, sollten das Update deshalb zunächst in einer Staging-Umgebung testen und bei Bedarf den offiziellen Workaround anwenden.

Die Regression ist jedoch kein Grund, eine verwundbare Joomla-5.4.8-Installation dauerhaft ungepatcht zu lassen.

Werden die neuen Joomla-Schwachstellen aktiv ausgenutzt?

Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige Bestätigung gefunden, dass die in diesem Joomla Sicherheitsupdate behandelten Schwachstellen aktiv in freier Wildbahn ausgenutzt werden.

Das Joomla Project veröffentlicht bei den Security Advisories eine Exploit Probability. Diese Einstufung ist eine Risikobewertung und kein Nachweis tatsächlich beobachteter Angriffe.

Beispielsweise bewertet Joomla die Exploit Probability von CVE-2026-92222 und CVE-2026-90915 als Low, während CVE-2026-92227 als Moderate eingestuft wird.

Da technische Details und die abgesicherten Versionen inzwischen öffentlich verfügbar sind, sollten Administratoren mit dem Update nicht auf Hinweise für aktive Angriffe warten.

Was sollten Joomla-Administratoren jetzt tun?

1. Die exakt installierte Joomla-Version kontrollieren.
2. Vor dem Update eine vollständige Sicherung der Website-Dateien und Datenbank erstellen.
3. Joomla-5-Installationen auf 5.4.9 oder neuer aktualisieren.
4. Joomla-6-Installationen auf 6.1.4 oder neuer aktualisieren.
5. Kontrollieren, ob das Update erfolgreich abgeschlossen wurde.
6. Frontend und Joomla Administrator anschließend testen.
7. Installierte Erweiterungen und Templates überprüfen.
8. Web-Services-API-Integrationen testen, sofern diese verwendet werden.
9. Bei Joomla 5.4.9 den offiziellen Workaround prüfen, wenn PATCH-Requests benötigt werden.
10. Benutzerkonten, Authentifizierungsaktivitäten und Webservice-Aktionen auf Auffälligkeiten kontrollieren.

Website auf eine mögliche Kompromittierung prüfen

Da das Joomla Sicherheitsupdate 16 unterschiedliche Schwachstellen behebt, gibt es keinen einzelnen universellen Indicator of Compromise, der die Ausnutzung aller Probleme zuverlässig erkennt.

Abhängig von den auf der Website verwendeten Funktionen sollten Administratoren unter anderem kontrollieren:

• unerwartete ausgehende HTTP- oder HTTPS-Verbindungen vom Joomla-Server;
• Requests zu internen IP-Adressen, localhost-Diensten oder ungewöhnlichen Netzwerkzielen;
• unerwartet gelöschte Verzeichnisse;
• Dateisystemfehler im Zusammenhang mit Joomla-Cache-Operationen;
• verdächtige Remember-Me-Anmeldungen;
• Authentifizierungen, bei denen normalerweise MFA erwartet worden wäre;
• unbekannte Joomla-Benutzerkonten;
• unerwartete Änderungen an bestehenden Benutzerrechten;
• Webservice-Editieraktionen, die nicht zu den ACL-Rechten des betreffenden Benutzers passen;
• unerwartete Änderungen an Joomla-Inhalten oder der Konfiguration;
• verdächtige Script- oder HTML-Inhalte, die auf einen XSS-Versuch hinweisen können.

Ein ungewöhnlicher Request, Login oder Dateisystemvorgang beweist für sich allein noch keine erfolgreiche Ausnutzung. Auffälligkeiten sollten mit Joomla-, Webserver-, Reverse-Proxy- und Firewall-Logs sowie Dateisystem-Zeitstempeln abgeglichen werden.

Was tun, wenn verdächtige Aktivitäten gefunden werden?

Wird ein unbekanntes privilegiertes Konto, eine nicht erklärte Dateisystemänderung oder ein anderer deutlicher Hinweis auf nicht autorisierten Zugriff entdeckt, reicht das einfache Aktualisieren von Joomla nicht mehr aus.

Die Installation sollte dann als potenziell kompromittiert behandelt werden.

Joomla Core, Erweiterungen, Templates, Benutzerkonten, geplante Aufgaben und relevante Server-Logs sollten überprüft werden. Anwendungsdateien sollten, wo möglich, mit vertrauenswürdigen Originaldateien verglichen werden.

Zugangsdaten, auf die aus der betroffenen Joomla-Umgebung zugegriffen werden konnte, sollten nach Wiederherstellung der Integrität ebenfalls überprüft und gegebenenfalls geändert werden.

Managed VPS bei Vservs

Die Absicherung eines Content-Management-Systems erfordert sowohl die Pflege der Anwendung als auch der zugrunde liegenden Hostingumgebung.

Mit einem Vservs Managed VPS übernehmen wir unter anderem die technische Serververwaltung, relevante Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.

Auch Joomla Core, Erweiterungen und Templates müssen aktuell gehalten werden. Nicht mehr unterstützte Joomla-Versionen sollten rechtzeitig auf eine unterstützte Release-Serie migriert werden.

Zusammenfassung

• Software: Joomla CMS
• Anzahl Security-Fixes: 16
• Abgesicherte Joomla-5-Version: 5.4.9
• Abgesicherte Joomla-6-Version: 6.1.4
• Veröffentlichung: 29. September 2026
• Wichtige CVEs: CVE-2026-90915, CVE-2026-92222, CVE-2026-92227 und CVE-2026-92226
• Impact: SSRF, Directory Deletion durch Path Traversal, MFA-Bypass, fehlerhafte Zugriffskontrolle, nicht autorisierte Kontoerstellung und mehrere XSS-Schwachstellen
• Aktive Ausnutzung: zum Zeitpunkt der