Wer im Sommer 2026 Joomla-Websites betreute, konnte leicht den Eindruck gewinnen, das gesamte System stehe unter Beschuss. Innerhalb weniger Wochen wurden kritische Schwachstellen in einigen stark verbreiteten Erweiterungen bekannt. Gleichzeitig tauchten auf kompromittierten Websites neue Super-User, versteckte PHP-Dateien, Weiterleitungen und andere Hintertüren auf.

Die naheliegende Frage lautete deshalb: Ist Joomla unsicher geworden? Die klare Antwort ist: Nein. Die Vorfälle waren ernst, aber sie betrafen nie den Joomla-Core. Angegriffen wurden Schwachstellen in Erweiterungen von Drittanbietern – also in Software, die zusätzlich zu Joomla installiert wird.

Das ist keine Spitzfindigkeit. Für eine faire Sicherheitsbewertung muss zwischen dem eigentlichen Content-Management-System, den installierten Erweiterungen, dem Template, der Serverumgebung und der laufenden Wartung unterschieden werden. Erst dieses Zusammenspiel ergibt die tatsächliche Sicherheit einer Website.

Den Anfang machte Anfang Juni eine kritische Schwachstelle im Joomla Content Editor JCE. Am 3. Juni erschien ein Sicherheitsupdate. Die Lücke wurde aktiv und automatisiert ausgenutzt; ein Update schloss zwar den Einstiegspunkt, entfernte aber keine bereits eingeschleusten Hintertüren.

In den folgenden Tagen und Wochen wurden weitere kritische Probleme bekannt. Hier eine kleine Auswahl:

• JCE: Eine sehr weit verbreitete Editor-Erweiterung war von einer kritischen Schwachstelle betroffen. Nach dem ersten Patch folgten zusätzliche Härtungen.
• SP Page Builder: Eine unzureichend geschützte Upload-Funktion konnte von nicht angemeldeten Angreifern missbraucht werden, um Dateien hochzuladen und Code auszuführen.
• iCagenda: Eine Schwachstelle rund um die Einreichung von Veranstaltungen und Datei-Uploads wurde insbesondere in Verbindung mit Joomla 6 kritisch.
• Helix3: Auch das ältere Template-Framework geriet durch eine kritische Schwachstelle in den Fokus automatisierter Angriffe.
• PageBuilderCK: Ein weiterer Page Builder war ebenfalls von einer kritischen Lücke betroffen.

Damit traf die Angriffswelle gleich mehrere Erweiterungen, die auf sehr vielen produktiven Websites installiert sind. Das erklärt, weshalb die Vorfälle so sichtbar waren: Die Angriffe trafen nicht eine einzelne Nischenkomponente, sondern mehrere, sehr verbreitete Werkzeuge. Und dies fast gleichzeitig.

Die Schwachstellen sind nicht alle im Juni 2026 neu entstanden. Ein Teil davon dürfte bereits längere Zeit im Code vorhanden gewesen sein. Neu war vor allem, wie schnell und systematisch solche Fehler gefunden, analysiert und anschliessend ausgenutzt wurden.

Moderne Werkzeuge können grosse Mengen Quellcode automatisiert nach riskanten Mustern durchsuchen: Fehlende Rechteprüfungen, unsichere Datei-Uploads, ungenügende Filterung oder direkt erreichbare Funktionen, die zum Teil schon viele Jahre im Code schlummerten und bisher nicht bemerkt wurden, werden damit zu einem Problem. Künstliche Intelligenz beschleunigt diese Analyse zusätzlich. Sie hilft Sicherheitsforschern beim Auffinden und Verstehen von Schwachstellen – dieselben Fähigkeiten können aber auch von Kriminellen missbraucht werden.

Hinzu kommt ein bekanntes Wettrennen: Sobald ein Hersteller ein Update veröffentlicht, lässt sich durch den Vergleich der alten und neuen Version sehr rasch erkennen, welcher Fehler behoben wurde. Angreifer entwickeln daraus automatisierte Tests und suchen das Internet nach ungepatchten Installationen ab. Deshalb ist die Zeit zwischen Veröffentlichung und Angriff inzwischen extrem kurz.

Viele Meldungen in kurzer Folge bedeuten somit nicht automatisch, dass Joomla plötzlich schlechter programmiert ist. Sie zeigen vielmehr, dass die gesamte Softwarebranche in eine Phase eintritt, in der bestehende Fehler schneller entdeckt und massenhaft ausgenutzt werden können.

Nein. Die im Juni breit diskutierten Angriffe waren keine Angriffe auf Sicherheitslücken im Joomla-Core. Betroffen waren Erweiterungen von Drittanbietern. Joomla stellte die Plattform bereit, über die diese Erweiterungen betrieben wurden – die konkreten Einfallstore lagen jedoch ausserhalb des Kerns.

Das bedeutet nicht, dass der Joomla-Core niemals Sicherheitsfehler enthält. Jede komplexe Software kann Schwachstellen haben. Entscheidend ist, wie professionell ein Projekt damit umgeht: Joomla verfügt mit dem Joomla Security Strike Team über einen etablierten Prozess zur vertraulichen Meldung, Bewertung, Behebung und Veröffentlichung von Sicherheitsproblemen.

Für Betreiber ist aber noch etwas anderes wichtig: Eine Joomla-Website besteht in der Praxis selten nur aus Joomla. Page Builder, Editoren, Kalender, Formulare, Galerien und Templates gehören zur Gesamtinstallation. Wer die Sicherheit einer Website beurteilt, muss daher das gesamte System betrachten – nicht nur den Core.

Die richtige Schlussfolgerung lautet deshalb nicht «Joomla ist unsicher», sondern: Eine Website ist nur so sicher wie ihre schwächste aktivierte Erweiterung und ihre Wartung.

Ein seriöser Vergleich lässt sich nicht mit einem einfachen Sieger beantworten. Joomla und WordPress sind ausgereifte Open-Source-Systeme mit aktiven Sicherheitsteams. Beide veröffentlichen Sicherheitsupdates, beide können Schwachstellen im Core enthalten, und bei beiden entsteht ein grosser Teil des praktischen Risikos durch Erweiterungen.

Genauso wie Joomla kämpft derzeit auch Wordpress mit massiven Angriffen sowohl auf die Erweiterungen als auch auf den Core.

Im Gegensatz zu Joomla sind bei WordPress aber tatsächlich auch Sicherheitslücken im Core entdeckt und ausgenutzt worden. Ungeachtet dessen veröffentlich beiden System regelmässig Sicherheitsreleases. Für kleinere Core- und Sicherheitsupdates verfügt WordPress seit Langem über automatische Hintergrundaktualisierungen; bei besonders schweren Fällen kann das Projekt Updates auch gezielt erzwingen. Das ist ein wirksamer Schutz für Installationen, die sonst nicht rechtzeitig aktualisiert würden.

Gleichzeitig ist das WordPress-Ökosystem wesentlich grösser. Dadurch gibt es sehr viele Plugins und Themes, aber auch eine enorme Zahl automatisierter Angriffe. Joomla hat einen kleineren Marktanteil und ein kleineres Erweiterungsangebot, wird deshalb aber keineswegs ignoriert. Die Ereignisse vom Juni haben gezeigt, dass auch Joomla-Erweiterungen intensiv und automatisiert gescannt werden.

In der Praxis entscheidet daher weniger der Name des CMS als die Qualität der konkreten Installation:

• Wie viele Erweiterungen sind installiert?
• Werden sie aktiv gepflegt?
• Wie schnell werden Sicherheitsupdates eingespielt?
• Gibt es funktionierende Backups, Monitoring und eine Reaktion auf Warnmeldungen?
• Werden nicht mehr benötigte Komponenten vollständig entfernt?

Eine schlank aufgebaute und professionell gewartete Joomla-Website ist sehr sicher, eine ungepflegte Joomla-Installation hingegen ist hochriskant. Und genau dasselbe gilt auch für Websites mit Wordpress: Die Sicherheit steht und fällt mit der Anzahl und Qualität der Erweiterungen und der regelmässigen Updates, die diese erfahren.

Nein – im Gegenteil: Die Offenheit des Quellcodes ist grundsätzlich ein Sicherheitsvorteil. Bei Open-Source-Software können Entwickler, Sicherheitsforscher und unabhängige Fachleute den Code prüfen. Fehler lassen sich öffentlich nachvollziehen, Korrekturen kontrollieren und problematische Stellen gemeinsam verbessern.

Geschlossener Quellcode ist nicht automatisch sicherer. Eine Schwachstelle verschwindet nicht, nur weil Aussenstehende den Code nicht einsehen können. Angreifer analysieren Programme auch ohne Quellcode, beobachten Schnittstellen oder vergleichen das Verhalten verschiedener Versionen. Hersteller können entsprechend nicht dauerhaft verbergen, wie ein Problem gelöst wurde.

Open Source schafft dagegen Transparenz. Die Gemeinschaft kann Patches überprüfen, zusätzliche Härtungen entwickeln und Betreiber warnen. Genau das war im Juni zu beobachten: Informationen, Updates, Prüfskripte und Bereinigungshinweise verbreiteten sich innerhalb der Joomla-Community enorm schnell und trugen massiv dazu bei, dass in sehr kurzer Zeit sehr viel Wissen über die Hacks aufgebaut werden konnte.

Sicherheit darf nie auf Geheimhaltung alleine beruhen. Sie entsteht durch saubere Entwicklung, Code-Reviews, schnelle Updates, klare Kommunikation und eine professionelle Wartung der installierten Systeme.

Wer Joomla-Websites betreibt, sollte sich nicht ausschliesslich auf die Update-Anzeige im Backend verlassen. Bei einer aktiv ausgenutzten Schwachstelle zählt häufig Stunde. In der Community heisst das dann häufig: "Alles fallen lassen und jetzt Updaten!" Um stets auf dem neusten Stand zu bleiben ist darum eine Kombination aus offiziellen Meldungen, Herstellerinformationen und dem direkten Austausch in der Community sinnvoll.

• Joomla Security Centre: Dort veröffentlicht das Joomla Security Strike Team die behobenen Sicherheitsprobleme im Joomla-Core und Framework.
  https://developer.joomla.org/security-centre.html
• Hersteller der Erweiterungen: Newsletter, Release Notes und Sicherheitshinweise von JCE, JoomShaper, iCagenda und anderen Anbietern liefern die konkreten Versions- und Updateinformationen.
• Joomla Mattermost: In der Community werden aktuelle Vorfälle, Beobachtungen und Gegenmassnahmen häufig sehr schnell diskutiert. Der Einstieg ist unter joomlacommunity.cloud.mattermost.com möglich.
• Monitoring- und Wartungsdienste: Zentrale Systeme helfen dabei, veraltete Versionen, verdächtige Änderungen und fehlgeschlagene Backups über mehrere Websites hinweg zu erkennen.

Wichtig ist dabei die Quellenkritik. In Krisensituationen kursieren schnell unvollständige Versionsangaben, Spekulationen und übertriebene Begriffe wie «Zero-Day». Massgeblich sind bestätigte Angaben des Herstellers, offizielle Sicherheitsmeldungen und nachvollziehbare technische Analysen.

Die wichtigste Lehre lautet nicht, Joomla zu verlassen. Sie lautet, Websites als dauerhaft zu betreibende Systeme zu verstehen. Ein Relaunch oder eine erfolgreiche Installation ist kein Endpunkt. Ab diesem Moment beginnt der Betrieb.

Dazu gehören zeitnahe Updates, regelmässige und getestete Backups, die Kontrolle von Administrator-Konten, ein möglichst kleiner Erweiterungsbestand, sichere Servereinstellungen sowie ein Plan für den Ernstfall. Nach einer aktiv ausgenutzten kritischen Lücke reicht ein Update allein nicht aus: Es muss zusätzlich geprüft werden, ob die Website bereits kompromittiert wurde.

Gerade Organisationen mit mehreren Websites benötigen klare Verantwortlichkeiten. Wer verfolgt Sicherheitsmeldungen? Wer entscheidet über Notfallupdates? Wer prüft verdächtige Dateien und Benutzer? Wo liegen saubere Backups? Ohne diese Antworten wird aus einer technischen Schwachstelle schnell ein organisatorisches Problem.

Die Häufung kritischer Sicherheitsfälle im Juni 2026 war ernst und für viele Betreiber schmerzhaft. Sie beweist aber nicht, dass Joomla als CMS unsicher ist. Die konkret ausgenutzten Einfallstore lagen in Drittanbieter-Erweiterungen wie JCE, SP Page Builder, iCagenda, Helix3 und PageBuilderCK.

Dass mehrere Lücken fast gleichzeitig sichtbar wurden, ist Ausdruck einer veränderten Sicherheitslage: Quellcode kann schneller analysiert, Schwachstellen können schneller in funktionierende Angriffe übersetzt und verwundbare Websites weltweit automatisiert gefunden werden.

Joomla bleibt eine leistungsfähige, transparente und professionell entwickelte Plattform. Sicher wird eine Website jedoch erst durch die konsequente Pflege des gesamten Ökosystems: Core, Erweiterungen, Templates, Hosting, Backups, Monitoring und menschliche Zuständigkeit.

Die entscheidende Frage lautet deshalb nicht: «Ist Joomla sicher?» Sondern: «Wird diese konkrete Joomla-Website professionell betrieben?»

Die Angriffswelle vom Juni 2026 betraf mehrere Erweiterungen von Drittanbietern. Der Joomla-Core war nicht das Einfallstor dieser konkreten Hacks. Dennoch muss jede Joomla-Installation als Gesamtsystem betrachtet werden: Eine unsichere oder veraltete Erweiterung kann die gesamte Website kompromittieren.