Joomla-Websites in Gefahr. Wer den weit verbreiteten Editor JCE (Joomla Content Editor) einsetzt, muss sofort reagieren. Anfang Juni 2026 wurde eine kritische Schwachstelle bekannt, die alle JCE-Versionen vor 2.9.99.5 betrifft – und das sind sehr viele aktive Websites.
Was steckt dahinter?
Der JCE-Editor ist eine der meistgenutzten Erweiterungen im Joomla-Ökosystem. Er bietet komfortables Content-Management, saubere Upload-Funktionen und fein granulierte Benutzerrechte über sogenannte Editor-Profile.
Genau dort liegt das Problem.
Eine unzureichende Zugriffskontrolle erlaubt es nicht eingeloggten Besuchern, neue Editor-Profile auf den Server hochzuladen. Da ein Editor-Profil steuert, welche Dateitypen hochgeladen werden dürfen, können Angreifer diese Lücke nutzen, um beliebige Dateien – darunter ausführbare PHP-Skripte – auf den Server zu schreiben und auszuführen.
Kein Login erforderlich. Keine Registrierung. Jeder, der die URL kennt, kann die Lücke theoretisch ausnutzen.
Die Schwachstelle trägt die offizielle Kennung CVE-2026-48907 und betrifft JCE Free und JCE Pro – sämtliche Versionen vor 2.9.99.5, auf allen Joomla-Versionen (3, 4, 5 und 6).
Was ist zu tun?
Der Hersteller Widget Factory Limited hat die Lücke mit JCE 2.9.99.5 vom 3. Juni 2026 geschlossen. Das Update steht im Joomla Extension Directory und im JCE-eigenen Update-Kanal bereit.
- Sofortiges Update auf JCE 2.9.99.5 über das Joomla-Backend (Erweiterungen → Update)
- Editor-Profile prüfen: Wurden nach dem Update unbekannte Profile angelegt?
- Server-Check: Liegen verdächtige oder unbekannte Dateien im Upload-Verzeichnis?
- Log-Analyse: Auffällige Zugriffsmuster in den Server-Logs seit Ende Mai 2026?
Wer sich nicht sicher ist, ob die eigene Website bereits kompromittiert wurde: Im Zweifel professionelle Hilfe in Anspruch nehmen.
Wir kümmern uns darum.
Sie betreiben eine Joomla-Website und sind sich nicht sicher, ob Ihre Installation betroffen ist? Wir prüfen das für Sie – schnell, gründlich und ohne IT-Kauderwelsch.
Als Joomla-Spezialisten übernehmen wir das Update, die Überprüfung auf Kompromittierung und – falls nötig – die Bereinigung der Website.