JCE-Sicherheitslücke in Joomla: Warum Sie jetzt updaten sollten

Wenn Sie eine Joomla-Website betreiben und den beliebten Editor JoomlaContentEditor (kurz JCE) nutzen, betrifft Sie dieser Beitrag direkt. In den vergangenen Wochen wird eine Sicherheitslücke in genau dieser Erweiterung aktiv und automatisiert ausgenutzt. Wir haben das nicht nur in den Sicherheitsmeldungen gelesen, sondern bei einem Kundenprojekt im Juni 2026 live gesehen und gestoppt.

Alle JCE-Versionen unter 2.9.99.5 haben eine kritische Schwachstelle, über die Fremde ohne Login Dateien auf Ihren Server hochladen können. Wer noch nicht aktualisiert hat, sollte das heute tun. Wie Sie prüfen, ob Sie betroffen sind, und wie Sie sicher updaten, lesen Sie hier.

Worum geht es?

JCE steht für JoomlaContentEditor. Das ist eine sehr weit verbreitete Erweiterung, mit der Sie in Joomla Texte und Bilder bequem bearbeiten, ähnlich wie in einem Textprogramm. Technisch heißt diese Komponente com_jce. Weil sie auf so vielen Joomla-Seiten installiert ist, ist sie für Angreifer ein lohnendes Ziel.

Die Schwachstelle steckte in den sogenannten Editor-Profilen. Ein Editor-Profil legt fest, wer im Editor was darf, zum Beispiel Bilder hochladen. Durch einen Fehler in dieser Funktion konnte ein nicht angemeldeter Besucher Dateien auf den Server hochladen. „Nicht angemeldet“ heißt: Der Angreifer brauchte weder ein Benutzerkonto noch ein Passwort. Fachleute nennen das einen unauthentifizierten Datei-Upload.^[1]

Das Gefährliche daran: Wer Dateien auf einen Server hochladen kann, kann dort auch Schadcode ablegen und ausführen. Damit lässt sich eine Website fernsteuern. Wir gehen weiter unten nur auf hoher Ebene darauf ein, was dann passiert. Eine Anleitung zum Ausnutzen der Lücke finden Sie hier bewusst nicht.

Bin ich betroffen?

Die Frage lässt sich klar beantworten. Betroffen sind alle JCE-Installationen mit einer Version unter 2.9.99.5. Das gilt sowohl für die kostenlose Free-Variante als auch für die kostenpflichtige Pro-Variante. Und es gilt über alle aktuellen Joomla-Generationen hinweg: Joomla 3, 4, 5 und 6.^[1]

So prüfen Sie Ihre Version

Sie finden die installierte Version im Joomla-Backend. Melden Sie sich in der Administration an und öffnen Sie den Bereich für Erweiterungen. Suchen Sie dort den Eintrag „JCE“ oder „JoomlaContentEditor“. Daneben steht die Versionsnummer. Ist sie kleiner als 2.9.99.5, müssen Sie handeln.

Was im Ernstfall passiert

Eine offene Upload-Lücke ist deshalb so kritisch, weil Angreifer darüber dauerhaft Fuß fassen können. Typischerweise passiert eines oder mehreres davon:

• Hintertür (Backdoor): ein verstecktes Programm, das dem Angreifer auch später noch heimlichen Zugriff gibt.
• Webshell: eine getarnte Datei, über die Befehle auf dem Server ausgeführt werden, oft als harmlose Datei maskiert.
• Krypto-Miner: ein Programm, das Ihre Server-Leistung heimlich zum Schürfen von Kryptowährung missbraucht. Ihre Seite wird dadurch spürbar langsam.
• Spam-Versand: Ihr Server verschickt unbemerkt Massen-E-Mails, was Ihrem Ruf und Ihrer Zustellbarkeit schadet.
• Blacklisting: Suchmaschinen und Browser stufen Ihre Seite als gefährlich ein und warnen Besucher. Das kostet Sichtbarkeit und Vertrauen.

In einem Kundenprojekt im Juni 2026 haben wir genau das gesehen. Eine Joomla-5-Website auf einem Shared-Hosting-Paket war über eine veraltete JCE-Erweiterung kompromittiert worden. Die Angreifer hatten eine getarnte Webshell hochgeladen und gleich mehrere Mechanismen eingerichtet, damit sie immer wieder Zugriff bekamen. Es gab einen getarnten Prozess, der wie ein harmloser System-Prozess aussah, eine Technik namens gsocket, die eine Fernverbindung durch die Firewall hindurch aufbaut, sowie automatische Aufgaben (Cronjobs). Ein Hilfsprogramm legte etwa alle 10 Minuten neue Schaddateien an. Sogar die Zeitstempel der Dateien waren gefälscht, um die Spuren zu verwischen. Der Befall hatte mehrere Websites im selben Hosting-Account erreicht.

Jetzt updaten: Schritt für Schritt

Das Update ist in den allermeisten Fällen unkompliziert und in wenigen Minuten erledigt. Ziel ist die aktuell empfohlene Version 2.9.99.6. Gehen Sie wie folgt vor:

Wenn Sie nicht sofort updaten können

Manchmal lässt sich ein Update nicht in der nächsten Minute durchführen, etwa weil eine Abstimmung mit der IT nötig ist oder eine besondere Konfiguration vorliegt. In diesem Fall sollten Sie das Risiko vorübergehend verkleinern. Wichtig: Diese Maßnahmen sind nur eine Notbremse, kein Ersatz für das Update.

Schon zu spät? Fünf Anzeichen einer Kompromittierung

Falls Ihre Seite schon länger nicht aktualisiert wurde, lohnt ein prüfender Blick. Diese fünf Anzeichen deuten auf einen möglichen Befall hin:

Sehen Sie eines dieser Anzeichen, reicht ein einfaches Löschen der Schaddateien nicht. In unserem Kundenprojekt scheiterte genau das: Wurden nur die sichtbaren Dateien entfernt, war die Seite binnen Stunden wieder infiziert, weil die Hintertür und das Einfallstor blieben. Wie eine Bereinigung in der richtigen Reihenfolge gelingt, beschreiben wir im Beitrag Joomla-Website gehackt: so bereinigen Sie richtig. Einen kompletten Leitfaden vom Erkennen bis zum Schützen finden Sie unter Joomla gehackt: erkennen, bereinigen, schützen.

Ihre nächsten Schritte

Prüfen Sie jetzt Ihre JCE-Version und aktualisieren Sie auf 2.9.99.6. Sind Sie unsicher, ob Sie betroffen sind, oder vermuten Sie bereits einen Befall, sollten Sie nicht zögern. Wir übernehmen den Sicherheits-Check und im Ernstfall die Bereinigung. Damit solche Lücken künftig gar nicht erst gefährlich werden, halten wir Ihre Seite mit unserer laufenden Website-Betreuung aktuell.

Häufige Fragen

Quellen