Im Juni 2026 wurde eine äußerst schwerwiegende Sicherheitslücke mit einem CVSS-Wert von 10,0 im JCE-Plugin** (Joomla Content Editor)** entdeckt, einem der beliebtesten WYSIWYG-Editoren für das Content-Management-System Joomla. Die Schwachstelle ist im JCE-Produkt des Entwicklerteams von Widget Factory enthalten und ermöglicht es nicht authentifizierten Angreifern, beliebigen PHP-Code auf betroffenen Joomla-Seiten hochzuladen und auszuführen.

Die Sicherheitslücke wurde am 16. Juni 2026 von der CISA (Cybersecurity and Infrastructure Security Agency) in den Katalog der tatsächlich ausgenutzten Sicherheitslücken (Known Exploited Vulnerabilities, KEV) aufgenommen, was bestätigt, dass die Schwachstelle auch in der Praxis aktiv ausgenutzt wird.

Technische Details

Die Schwachstelle fällt unter die Kategorie CWE-284: Unzureichende Zugriffskontrolle. JCE ermöglicht es Administratoren, mehrere Bearbeiterprofile mit jeweils eigenen, genau abgestimmten Berechtigungen anzulegen – beispielsweise, welche Benutzergruppen Dateien hochladen, die Medienbibliothek durchsuchen oder Inhalte verwalten dürfen.

Die Ursache des Problems liegt darin, dass der Mechanismus zum Hochladen von Dateien nicht ausreichend überprüft, ob der Nutzer, der die Anfrage sendet, gemäß den Regeln des jeweiligen Profils tatsächlich authentifiziert und berechtigt ist, sofern das Laden des Profils ohne authentifizierte Sitzung erfolgt. Infolgedessen kann ein Angreifer – ohne Anmeldedaten – ein neues Bearbeiterprofil erstellen und dieses anschließend ausnutzen, um eine PHP-Webshell in ein über das Web zugängliches Verzeichnis hochzuladen und dort auszuführen.

Dieser Vorgang ermöglicht praktisch eine vollständige Remote-Code-Ausführung (Remote Code Execution, RCE) ohne Authentifizierung und ohne Interaktion des Benutzers.

Warum ist das so gefährlich?

Experten stufen diese Sicherheitslücke aus mehreren Gründen als besonders risikoreich ein:

• Eine Authentifizierung ist nicht erforderlich – der Angriff kann von jedem gestartet werden, der über Netzwerkzugriff auf die betroffene Joomla-Seite verfügt.
• Direkter Weg zur Codeausführung – eine erfolgreiche Ausnutzung führt unmittelbar zur Ausführung von Remote-Code, ohne dass weitere Schwachstellen in Kettenreaktion ausgenutzt werden müssen.
• Geeignet für Massenangriffe – Joomla-Seiten und das Vorhandensein von JCE lassen sich mit automatisierten Scannern anhand vorhersehbarer Pfade und HTTP-Antwortmuster leicht identifizieren.
• Große Angriffsfläche – JCE läuft auf einem erheblichen Teil des Joomla-Ökosystems, sodass potenziell mehrere hunderttausend Websites betroffen sind.

Chronologische Reihenfolge

Datum	Veranstaltung
26. Mai 2026	Die CVE-Kennung wird beibehalten
3. Juni 2026	Die korrigierte Version JCE 2.9.99.5 wird veröffentlicht
5. Juni 2026	Die Sicherheitslücke wird veröffentlicht (CVE-2026-48907)
16. Juni 2026	Die CISA nimmt das Produkt in den KEV-Katalog auf und bestätigt damit dessen aktive Nutzung
19. Juni 2026	Frist für die Installation des Patches durch die (US-)Bundesbehörden

Die betroffenen Versionen reichen von JCE 1.0.0 bis 2.9.99.4.

Aktive Nutzung in der Praxis

Laut dem Sicherheitsforscher Phil E. Taylor (mySites.guru) nutzen Angreifer diese Sicherheitslücke aus, um ein gefälschtes, bösartiges Editorprofil zu importieren und über dieses anschließend eine Webshell zu installieren, die einen dauerhaften Zugriff auf den kompromittierten Server über eine Hintertür ermöglicht.

Empfohlene Maßnahmen

Falls eine Joomla-basierte Website das JCE-Plugin verwendet, wird empfohlen, die folgenden Schritte unverzüglich durchzuführen:

1. Sofortiges Update – Aktualisierung von JCE auf Version 2.9.99.5 oder höher, unabhängig von der Joomla-Core-Version.
2. Überprüfung auf Kompromittierung – Durchsuchen der Webserver-Protokolle nach POST-Anfragen, die auf JCE-Upload-Pfade (z. B. /index.php?option=com_jce&task=...) abzielen, sowie Durchsuchen der Medienverzeichnisse nach verdächtigen, kürzlich geänderten PHP-Dateien.
3. Überprüfung der Editorprofile – Überprüfung der Upload-Berechtigungen aller JCE-Profile sowie Ausschluss der ausführbaren Dateitypen (.php, .pht, .phtml, .shtml, .php5, .php7, .phar, .inc usw.) auch bei authentifizierten Benutzern.
4. Einschränkung der Zielverzeichnisse für Uploads – Soweit möglich, sollten Uploads in Verzeichnisse außerhalb des Webroot-Verzeichnisses geleitet werden.

.htaccess-Schutz bis zur Durchführung des Updates

Die folgende Rewrite-Regel, die in die .htaccess-Datei eingefügt werden kann, sperrt den Zugriff auf das kompromittierte Modul:

<IfModule mod_rewrite.c>
    RewriteEngine On
    # --------------------------------------------------------------------
    # 1) Block unauthenticated / suspicious requests to JCE component
    #    endpoints that are used to create editor profiles or upload files.
    #    The exploit chain abuses com_jce upload/profile task requests.
    # --------------------------------------------------------------------
    RewriteCond %{QUERY_STRING} option=com_jce [NC]
    RewriteCond %{QUERY_STRING} task=upload|task=plugin|task=profile [NC]
    RewriteCond %{HTTP_COOKIE} !joomla_user_state=logged_in [NC]
    RewriteRule ^ - [F,L]
 
    # Belt-and-braces: block direct POSTs to common JCE ajax/upload endpoints
    RewriteCond %{REQUEST_METHOD} POST
    RewriteCond %{REQUEST_URI} /(components|plugins)/(com_jce|editors-xtd_jce|jce)/.*(upload|profiles?)\.php [NC]
    RewriteRule ^ - [F,L]
</IfModule>

Zusammenfassung

CVE-2026-48907 ist ein Lehrbuchbeispiel dafür, wie eine an sich nützliche Funktion – die flexible, anpassbare Berechtigungsverwaltung – zu einem kritischen Sicherheitsrisiko werden kann, wenn die Implementierung der Zugriffskontrolle lückenhaft ist. Angesichts der maximalen Schweregradbewertung und der bestätigten, aktiven Ausnutzung sollten alle Joomla-Betreiber, die das JCE-Plugin verwenden, ihr System unverzüglich aktualisieren und zudem eine Überprüfung nach einer möglichen Kompromittierung durchführen.

• Cybersicherheit
• Website-Sicherheit
• PHP
• Neuigkeiten