Kurz gesagt: Die Joomla-Sicherheitslücke, von der gerade die Rede ist, heißt PHP2Shell und liegt im PHP des Servers, nicht in Joomla. Ein Joomla-Update schließt sie nicht. Nach PHP-Patch und Neustart sollten Sie configuration.php, Template-Overrides, Erweiterungen und die Liste der Super User prüfen.
Was PHP2Shell für Joomla bedeutet
Joomla ist ein PHP-CMS und erbt jede Schwäche des darunterliegenden PHP. Die Lücken CVE-2026-109618 und CVE-2026-109619 erlauben laut PHP-Team das Ausführen von Schadcode ohne Anmeldung. Betroffen sind die üblichen Betriebsarten PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Gerade kleinere Joomla-Websites von Vereinen, Handwerksbetrieben oder Verbänden laufen oft auf Shared Hosting und werden selten gepflegt. Dort liegt das PHP-Update beim Hoster. Ihre Aufgabe ist, den Stand zu erfragen und die Website auf Spuren zu prüfen. Welche Versionen betroffen sind, zeigt Welche PHP-Versionen sind betroffen?.
Joomla-Sicherheitslücke: PHP-Version prüfen
Im Administrator-Bereich zeigt System > Systeminformationen die PHP-Version und die wichtigsten PHP-Einstellungen. Das ist die Version, mit der Joomla im Web tatsächlich läuft. Behobene Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Zeigt Joomla eine ältere Nummer, kann trotzdem ein Backport eingespielt sein; das muss Ihr Hoster bestätigen.
Auf Shared Hosting lässt sich die PHP-Version oft im Kundenmenü des Hosters je Domain umstellen. Das wechselt aber nur zwischen den Versionen, die der Hoster bereitstellt; ob diese gepatcht sind, entscheidet der Hoster. Ein Wechsel auf eine neuere Hauptversion kann trotzdem sinnvoll sein, wenn Ihre Joomla-Version und alle Erweiterungen sie unterstützen. Testen Sie das vorher, denn ältere Erweiterungen brechen bei neueren PHP-Versionen häufig mit Fehlermeldungen ab.
Joomla nennt selbst Mindestanforderungen an PHP je Hauptversion. Welche PHP-Versionen Ihre Joomla-Version unterstützt, prüfen Sie laut Systemanforderungen auf joomla.org. Bei sehr alten Joomla-Ständen kann ein PHP-Wechsel zuerst ein Joomla-Upgrade erfordern.
Typische Verstecke für Schadcode in Joomla
| Ort | Inhalt | Worauf achten |
|---|---|---|
configuration.php |
Datenbankzugang, $secret, Pfade für Logs und Temp |
Änderungsdatum, eingeschobener Code |
images/, media/ |
Bilder und Medien | PHP-Dateien sind verdächtig |
tmp/ |
temporäre Dateien, auch von Installationen | Reste fremder Pakete |
templates/<name>/html/ |
Template-Overrides mit PHP-Code | unbekannte oder veränderte Overrides |
plugins/system/ |
System-Plugins, die bei jedem Aufruf laden | unbekannte Plugins |
administrator/logs/ |
Protokolle | vor Änderungen sichern |
.htaccess |
Umleitungen, Rewrite-Regeln | Weiterleitungen nur für Suchmaschinen |
System-Plugins sind besonders beliebt, weil sie bei jedem Seitenaufruf ausgeführt werden. Ein unbekanntes Plugin in diesem Ordner sollten Sie immer erklären können.
Ungefährliche Prüfungen auf der Kommandozeile (Joomla 4 und neuer bringt eine eigene Konsole mit):
# PHP-Dateien in Medien- und Temp-Ordnern
find images media tmp -type f -name "*.php"
# Benutzer und Erweiterungen auflisten
php cli/joomla.php user:list
php cli/joomla.php extension:list
Leitet Ihre Joomla-Website Besucher von Google auf fremde Seiten um oder zeigt Google eine Warnung, ist der Server sehr wahrscheinlich bereits kompromittiert. Dann reicht kein Update, sondern es braucht eine Bereinigung und anschließend eine Überprüfung in der Search Console.
Administrator-Zugang und Erweiterungen
Der Administrator-Bereich liegt unter /administrator. Prüfen Sie die Benutzergruppe „Super Users“ auf unbekannte Konten und auf Konten ehemaliger Dienstleister. Aktivieren Sie die Zwei-Faktor-Anmeldung, die Joomla mitbringt, und nutzen Sie persönliche statt geteilter Konten.
Erweiterungen aus dem Joomla Extensions Directory und von Drittanbietern sind bei vielen Websites zahlreich: Formulare, Galerien, Seitenbaukästen, Newsletter. Jede bringt eigenen PHP-Code und oft eigene Upload-Funktionen mit. Erweiterungen, deren Anbieter keine Updates mehr liefert, sind ein Dauerrisiko und erschweren jedes PHP-Upgrade. Deinstallieren Sie Ungenutztes vollständig.
Was ein Joomla-Update kann und was nicht
Ein Joomla-Update ersetzt die Core-Dateien und schließt bekannte Lücken in Joomla. Es patcht nicht PHP, berührt Template-Overrides und Fremd-Erweiterungen nicht und entfernt keine Dateien, die nicht zum Core gehören. Auch Datenbankeinträge wie neue Super User bleiben bestehen.
Wurde Ihre Website bereits verändert, hilft der Ablauf unter Website gehackt? Notfallhilfe remote. Für die Suche nach Hintertüren lohnt sich der Ratgeber Webshells erkennen und entfernen.
Wurde Ihre Joomla-Website von einer Agentur oder einem Freelancer eingerichtet, fragen Sie dort nach, welche Erweiterungen und Templates individuell angepasst wurden. Angepasste Dateien lassen sich nicht einfach mit dem Originalpaket vergleichen und brauchen eine Einzelprüfung.
Wie hilft PHP SOS konkret?
- Wir fragen den PHP-Stand bei Ihrem Hoster ab oder prüfen ihn auf Ihrem Server, einschließlich Neustart.
- Wir sichern Logs, Dateien und Datenbank vor jeder Änderung.
- Wir vergleichen den Core mit dem Originalpaket und prüfen Overrides, System-Plugins, Medienordner und Super User.
- Bei Funden bereinigen wir die Website, erneuern Zugänge und begleiten das Entfernen von Google-Warnungen.
Häufige Fragen
Ist Joomla von PHP2Shell betroffen?
Joomla selbst hat keine neue Lücke, aber es läuft auf PHP. Ist das PHP des Servers nicht gepatcht, kann ein Angreifer laut PHP-Team ohne Anmeldung Code ausführen. Ein Joomla-Update ändert daran nichts.
Wo finde ich in Joomla die PHP-Version?
Im Administrator-Bereich unter System > Systeminformationen. Dort sehen Sie auch die PHP-Einstellungen. Ob ein Backport eingespielt ist, erkennen Sie an der Nummer nicht; das muss Ihr Hoster bestätigen.
Warum sind Template-Overrides ein Risiko?
Overrides liegen im Template-Ordner und enthalten PHP-Code, der die Ausgabe von Komponenten und Modulen ersetzt. Eingeschleuster Code fällt dort kaum auf, weil Overrides bei Joomla-Updates nicht ersetzt werden.