Hintergrund der Sicherheitslücke

Die Schwachstelle betrifft alle Versionen der 6.x-Reihe bis einschließlich Version 6.6.1. Erst mit Version 6.6.2 wurde die Sicherheitslücke vollständig geschlossen. [website-be...inigung.de]
Besonders kritisch ist:

- Ein Angriff ist ohne Anmeldung möglich
- Angreifer können beliebige Dateien auf den Server hochladen und ausführen
- Die Sicherheitslücke wird bereits aktiv ausgenutzt
- Bereits installierte Komponenten reichen aus – auch ohne aktive Nutzung

Damit stellt diese Schwachstelle eine erhebliche Gefährdung für betroffene Systeme dar.

Technischer Hintergrund des Angriffs

Die Ursache liegt in einer unzureichend abgesicherten Upload-Funktion innerhalb der Komponente. Diese prüfte weder die Authentifizierung des Nutzers noch den Dateityp der hochgeladenen Dateien.
Dadurch konnten Angreifer:

beliebige Dateien (z. B. PHP-Skripte) hochladen,
diese direkt ausführen und
vollständige Kontrolle über die Website erlangen.

Es handelt es sich um eine sogenannte Remote Code Execution (RCE) durch einen nicht authentifizierten Datei-Upload – eine der kritischsten Kategorien von Web-Sicherheitslücken.

Ein wesentliches Risiko dieser Sicherheitslücke besteht darin, dass der Angriff nicht bei der initialen Kompromittierung endet. Angreifer hinterlassen dauerhaft nutzbare Zugänge im System:

- Erstellung versteckter Administrator-Konten
- Ablage von sogenannten Backdoors (schadhaften PHP-Dateien)
- Verteilung mehrerer Kopien dieser Schadsoftware in verschiedenen Verzeichnissen.

Dadurch bleibt ein Zugriff auch nach einem Update weiterhin möglich.

Anzeichen für eine mögliche Kompromittierung

Website-Betreiber sollten ihre Systeme umgehend überprüfen. Hinweise auf einen erfolgreichen Angriff sind:

Unbekannte Administratorenkonten, insbesondere mit ungewöhnlichen E-Mail-Domains
Unerwartete PHP-Dateien in Verzeichnissen wie: 

/images
/media/com_admin
/media/regularlabs

Mehrere identische oder ähnlich benannte Schad-Dateien im System.

Auffälligkeiten dieser Art sind ein starkes Indiz für eine bereits kompromittierte Website.

Die vorliegende Sicherheitslücke im SP Page Builder ist als besonders kritisch einzustufen. Durch die Kombination aus fehlender Authentifizierung, direkter Code-Ausführung und aktiver Ausnutzung entsteht ein hohes Risiko für betroffene Joomla-Websites.

Quelle: Website-Bereinigungen.de, joomshaper.com