Hintergrund der Sicherheitslücke
Der Entwickler des JCE hat am 12. Juni 2026 ein Sicherheitsupdate veröffentlicht, um eine kritische Schwachstelle in älteren Versionen zu schließen. Zunächst wurde Version 2.9.99.5 bereitgestellt, gefolgt von Version 2.9.99.6, die zusätzliche Schutzmaßnahmen enthält und ausdrücklich empfohlen wird.
Es besteht akuter Handlungsbedarf.
Technischer Hintergrund des Angriffs
Die Schwachstelle ermöglicht es Angreifern, unautorisiert ein manipuliertes Editor-Profil in das System einzuschleusen. Dieses Profil kann so konfiguriert werden, dass das Hochladen ausführbarer Dateien, wie beispielsweise PHP-Skripte, erlaubt ist.
Auf diese Weise können Angreifer Schadcode auf dem Server platzieren und dauerhaft Zugriff auf die Website erlangen.
Anzeichen für eine mögliche Kompromittierung
Website-Betreiber sollten ihre Systeme unmittelbar überprüfen lassen. Typische Hinweise auf einen Angriff sind:
- Unbekannte oder automatisch generierte Editor-Profile
- Erweiterte Upload-Berechtigungen für ausführbare Dateien
- Auffällig eingeschränkte Editor-Oberflächen im Frontend
- Unerwartete PHP-Dateien in Verzeichnissen wie /images, /media oder /tmp
Eine verlässliche Analyse erfolgt über die Server-Logdateien. Insbesondere Zugriffe auf folgende URL sind kritisch zu bewerten:
index.php?option=com_jce&task=profiles.import
Lösung für ältere Systemumgebungen
Für Systeme, die aufgrund veralteter Joomla- oder PHP-Versionen nicht unmittelbar aktualisiert werden können, wird ein kostenloser Patch für ältere JCE-Versionen (2.7.x bis 2.9.x) bereitgestellt.
- Der Patch schließt ausschließlich die bekannte Schwachstelle
- Keine zusätzlichen Sicherheitsmaßnahmen enthalten
- Keine Bereinigung kompromittierter Systeme
Langfristig sollte in jedem Fall eine Migration auf eine aktuelle, unterstützte Systemumgebung (CMS) erfolgen.
Die vorliegende Sicherheitslücke ist als besonders kritisch einzustufen. Durch die Kombination aus aktiver Ausnutzung, automatisierten Angriffen und öffentlich zugänglichen Exploits entsteht ein hohes Gefährdungspotenzial für betroffene Websites.
Quelle: JCE – Security Update und Patch für ältere Versionen