Kritische JCE Sicherheitslücke - wie wir unsere Kund:innen geschützt haben

Anfang Juni 2026 wurde eine kritische Sicherheitslücke im weit verbreiteten Joomla-Editor JCE (Joomla Content Editor) bekannt. Wir haben sofort gehandelt - hier erklären wir, was passiert ist, was wir unternommen haben und was das für Sie als Kund:in bedeutet.

von Sigrid Gramlinger

05. Juni 2026

Das Bild ist mit Hilfe von KI generiert.

Inhaltsverzeichnis

Rückfrage zu diesem Artikel senden

Wichtig - sofort handeln: Die Sicherheitslücke wird aktiv ausgenutzt. Funktionierender Exploit-Code ist öffentlich verfügbar, die Angriffe laufen automatisiert. Auch Websites ohne Benutzer:innenregistrierung sind betroffen. Empfohlene Version ist jetzt JCE 2.9.99.6 - bitte sofort aktualisieren, falls noch nicht geschehen.

Was ist der JCE Editor und warum setzen wir ihn ein?

Der JCE Editor ist eine der meistgenutzten Erweiterungen in der gesamten Joomla-Welt. Wir verwenden ihn auf fast allen Kunden-Websites - und das aus guten Gründen:

Der Standard-Editor von Joomla, TinyMCE, ist funktional, aber eingeschränkt. Der JCE bietet darüber hinaus wichtige Möglichkeiten:

Kontrollierter Datei- und Bild-Upload: Verzeichnisse lassen sich für Benutzer:innengruppen gezielt einschränken.
Sauberes Einfügen aus Word & Co.: Beim Copy & Paste aus Word bereinigt der JCE den mitkopierten Code automatisch.
Fein abgestimmte Berechtigungen: Über Editor-Profile lässt sich für jede Nutzer:innengruppe exakt festlegen, welche Dateitypen und Verzeichnisse erlaubt sind.

Die Sicherheitslücke: CVE-2026-48907

Am 3. Juni 2026 veröffentlichte der Hersteller Widget Factory Limited die Version JCE Pro 2.9.99.5 als erstes Notfall-Update, gefolgt wenige Tage später von Version 2.9.99.6 mit zusätzlicher Härtung. Version 2.9.99.6 ist die aktuell empfohlene Version für alle Websites.

Das Problem: Eine unzureichende Zugriffskontrolle erlaubte es nicht angemeldeten Benutzer:innen (unauthentifiziert), Editor-Profile auf den Server hochzuladen. Da ein Editor-Profil steuert, welche Dateitypen hochgeladen werden dürfen, konnte dies für den Upload beliebiger Dateien auf den Server - etwa ausführbarer PHP-Dateien - missbraucht werden.

Warum ist das besonders gravierend? Diese Lücke erforderte keine Anmeldung. Jede Person, die die Website aufruft, konnte sie ausnutzen - unabhängig davon, ob die Website eine Benutzer:innenregistrierung anbietet oder nicht. Der Angriff läuft vollautomatisch.

Betroffen waren alle Versionen von JCE Free und JCE Pro vor 2.9.99.5.

Die Schwachstelle wurde gemeldet von Uwe Flottemesch (fc-hosting.de) und mit Unterstützung von David Jardin, dem Leiter des Joomla Security Strike Teams, behoben.

Unsere Sofortmaßnahmen

Sobald die Lücke bekannt wurde, haben wir unmittelbar gehandelt:

JCE auf allen Kunden-Websites deaktiviert und TinyMCE als Standard-Editor eingerichtet - keine angreifbare Oberfläche mehr aktiv.
Update innerhalb von 4 Stunden: Version 2.9.99.5 erschien als erstes Notfall-Patch, wenige Tage später folgte 2.9.99.6 mit erweiterter Härtung.
Automatisches Update auf allen Kunden-Websites über unser Backup- und Verwaltungstool.
Manuelle Prüfung und Reaktivierung - jede Website wird schrittweise überprüft und der JCE dort wieder aktiviert, wo er sinnvoll ist.

Hinweis: Das Update schließt den Angriffsweg, bereinigt aber keine bereits kompromittierte Website. War eine Website vor dem Update bereits betroffen, bleiben allfällige Schadcode-Dateien bestehen. Lesen Sie dazu den nächsten Abschnitt.

Für unsere Kund:innen mit Website-Wartung: Wir haben alles für Sie erledigt. Das Update wurde automatisch eingespielt, und wir überprüfen jede Website manuell auf Anzeichen eines Befalls.

Wurde Ihre Website kompromittiert? Anzeichen erkennen

Ein Update allein gibt keine Entwarnung, wenn die Website vor dem Patch bereits angegriffen wurde. So erkennen Sie, ob etwas nicht stimmt:

Im JCE-Backend prüfen:

Ein Editor-Profil, das Sie nicht selbst angelegt haben - meist mit einem automatisch generierten, sinnlosen Namen, oft an erster Stelle der Profilliste.
Ein Profil, das PHP- oder andere Skript-Dateien als erlaubte Upload-Typen einträgt (zu finden im Parameter "Erlaubte Dateierweiterungen" eines Plugins wie Image Manager oder File Browser).
Ein Frontend-Editor, der nur noch eine stark reduzierte oder einzeilige Werkzeugleiste anzeigt - allein kein Beweis, aber zusammen mit einem unbekannten Profil ein deutliches Warnsignal.

Im Dateisystem prüfen:

PHP-Dateien im images/-, media/- oder tmp/-Verzeichnis, die Sie nicht selbst hochgeladen haben. Diese Ordner sollten normalerweise keine ausführbaren Dateien enthalten.
Wenn ein Profil keinen Upload-Pfad definiert, landet der Upload standardmäßig im images/-Ordner - dort zuerst suchen.

In den Server-Logs prüfen:

Der zuverlässigste Nachweis findet sich in den Webserver-Zugriffsprotokollen. Suchen Sie nach nicht authentifizierten Zugriffen auf:

index.php?option=com_jce&task=profiles.import

Der früheste Treffer zeigt, wann die Website erstmals erreicht wurde. Spielen Sie ein Backup ein, das vor diesem Datum erstellt wurde. Die Logs werden von vielen Hostern nur kurzfristig aufbewahrt - bitte zeitnah sichern.

Für eine automatisierte Prüfung bietet mysites.guru ein kostenloses Audit an, das die gesamte Website - inklusive Dateien außerhalb des öffentlichen Web-Roots - auf auffällige JCE-Profile und über sie hochgeladene Dateien durchsucht.

Was tun bei einem Befall?

Wenn Sie Hinweise auf eine Kompromittierung gefunden haben, arbeiten Sie diese Schritte der Reihe nach ab:

Sicherungskopien anlegen: Verdächtige Profile und Dateien vor dem Löschen sichern - sie können für eine spätere Analyse benötigt werden.
Schadcode entfernen: Das betrügerische Profil und alle darüber hochgeladenen Dateien löschen.
Auf Version 2.9.99.6 aktualisieren: Solange der Angriffspunkt offen ist, wird die Website sofort wieder infiziert.
Alle Passwörter ändern: Joomla-Secret-Key und alle Zugangsdaten - auch jene, die anderswo wiederverwendet werden.
Vollständigen Malware-Scan durchführen: Ihr Hoster bietet möglicherweise einen Server-seitigen Scan an (z.B. Imunify) oder führt diesen auf Anfrage durch.

Backup einspielen: Wenn Sie ein sauberes Backup vom Zeitpunkt vor dem ersten Angriff haben, ist ein vollständiges Zurückspielen die sicherste Option. Achten Sie darauf, anschließend sofort auf 2.9.99.6 zu aktualisieren.

Patch für ältere Websites

JCE 2.9.99.6 setzt PHP 7.4 und Joomla 3.10 oder neuer voraus. Für Websites, die diese Voraussetzungen noch nicht erfüllen, hat der Hersteller ein kostenloses Patch-Paket veröffentlicht, das die Sicherheitslücke in JCE 2.7.x, 2.8.x und 2.9.x schließt.

Bitte beachten: Der Patch schließt nur diese eine Lücke - ohne die zusätzliche Härtung von 2.9.99.6. Er ist als Übergangslösung gedacht. End-of-life-Versionen von PHP oder Joomla sind weiteren ungepatchten Sicherheitsproblemen ausgesetzt. Bitte planen Sie eine Migration auf eine aktuelle Plattform.

Nicht überall wird der JCE wieder eingesetzt

Wir nutzen diese Situation für eine kritische Überprüfung: Bei einigen Projekten werden wir den JCE nicht mehr reaktivieren und stattdessen deinstallieren.

Je weniger Erweiterungen installiert sind, desto kleiner ist die Angriffsfläche.

Wenn der JCE auf einer Website nicht aktiv genutzt wird oder der Funktionsumfang von TinyMCE ausreicht, verzichten wir künftig darauf. Jede zusätzliche Erweiterung ist eine potenzielle Schwachstelle.

Was wir daraus lernen - KI verändert die Sicherheitslandschaft

Sicherheitslücken werden heute schneller gefunden als je zuvor - sowohl von Sicherheitsforschenden als auch von Angreifer:innen. KI-gestützte Tools durchsuchen Source Code und Live-Websites automatisch auf bekannte Schwachstellen. Was früher Wochen dauerte, geschieht heute in Stunden.

Das bedeutet für den Betrieb von Joomla-Websites:

So wenige Erweiterungen wie möglich installiert halten
Joomla und alle Erweiterungen immer auf dem aktuellen Stand halten
Sicherheitsupdates so rasch wie möglich einspielen - idealerweise automatisiert
Regelmäßige Überprüfung, welche Erweiterungen noch aktiv genutzt werden

Wenn Sie Ihre Website selbst warten: Bitte stellen Sie sicher, dass der JCE auf Version 2.9.99.6 aktualisiert wurde. Das Update ist über den Joomla-Updater verfügbar: System - Update - Erweiterungen. Prüfen Sie außerdem anhand der Checkliste oben, ob Ihre Website bereits angegriffen wurde.

Quellen:

Bei Fragen stehen wir selbstverständlich gerne zur Verfügung.