Sicherheitsupdate für Joomla! CMS 5.4.9 und 6.1.4 behebt zehn Schwachstellen, darunter MFA-Umgehung, SSRF und XSS

Was passiert ist

Joomla! hat einen Sicherheitshinweis zu zehn Schwachstellen in Joomla! CMS veröffentlicht. Die bedeutendste ist CVE-2026-92227, eine Schwachstelle bei der Authentifizierung, bei der ein Remember-me-Cookie vorzeitig ausgestellt wird. Dadurch kann bei betroffenen Anmeldeabläufen die Multi-Faktor-Authentifizierung umgangen und die Integrität der Konten geschwächt werden.

CVE-2026-92222 ist eine Server-Side-Request-Forgery-Schwachstelle in den Kern-Erweiterungen: Ein Benutzer mit hohen Rechten kann den Server dazu veranlassen, Anfragen an interne oder nicht vertrauenswürdige URLs zu senden, weil die serverseitige Validierung von Anfragen unzureichend war. Außerdem werden mehrere Schwachstellen bei der Zugriffskontrolle behoben. CVE-2026-90913 und CVE-2026-92226 ermöglichen es nicht autorisierten Benutzern, über Webservice-Endpunkte Mutations- oder Bearbeitungsaktionen durchzuführen. CVE-2026-90917 ermöglicht es nicht autorisierten Benutzern, getaggte Inhalte aus Kategorien zu sehen, auf die sie keinen Zugriff haben. CVE-2026-90907 ermöglicht das Anlegen von Benutzerkonten mit Gastrechten auf Websites, auf denen die Benutzerregistrierung deaktiviert ist. CVE-2026-90915 ermöglicht durch eine Path-Traversal-Schwachstelle beim Leeren des Caches das beliebige Löschen von Verzeichnissen.

Drei Cross-Site-Scripting-Schwachstellen werden behoben: eine Abweichung beim Dekodieren von HTML5-Entitäten im InputFilter (CVE-2026-92231), eine Umgehung des InputFilters durch Leerzeichen in HTML-Daten-URIs (CVE-2026-92232) und fehlende Maskierung in HTML-E-Mail-Vorlagen (CVE-2026-90918). Eine Ausnutzung wurde bislang nicht gemeldet oder öffentlich bekannt gegeben, und keine dieser Schwachstellen ist im KEV-Katalog der CISA aufgeführt.

Wer betroffen ist

Joomla! CMS in den Versionen 4.0.0 bis 5.4.8 und 6.0.0 bis 6.1.3 ist von den meisten dieser Schwachstellen betroffen. CVE-2026-92231, CVE-2026-92232 und CVE-2026-90907 betreffen zusätzlich ältere CMS-Versionen ab 1.5.0. Auch das Paket „Joomla! Framework Filter“ in den Versionen 1.0.0 bis 3.0.6 und 4.0.0 bis 4.1.0 ist von CVE-2026-92231 und CVE-2026-92232 betroffen. Joomla! wird üblicherweise für öffentliche Websites, Portale und Intranet-Inhalte eingesetzt; wenn Sie eine solche Instanz betreiben, prüfen Sie, welche Version und welcher Versionszweig bei Ihnen im Einsatz ist.

Was jetzt zu tun ist

1. Aktualisieren Sie Joomla! CMS auf 5.4.9, wenn Sie eine 5.x-Version einsetzen, beziehungsweise auf 6.1.4, wenn Sie eine 6.x-Version einsetzen. Dabei handelt es sich um die korrigierten Versionen des Herstellers; sie beheben alle zehn CVEs aus diesem Sicherheitshinweis.
2. Wenn Sie das Paket „Joomla! Framework Filter“ in einer Version von 1.0.0 bis 3.0.6 oder von 4.0.0 bis 4.1.0 einsetzen, wurde in diesem Sicherheitshinweis noch kein korrigiertes Release veröffentlicht. Schränken Sie die Nutzung des Pakets ein und achten Sie auf weitere Hinweise des Herstellers.
3. Sichern Sie vor dem Update die Dateien und die Datenbank und testen Sie das Update nach Möglichkeit in einer Nicht-Produktionsumgebung.
4. Wenn ein sofortiges Update nicht möglich ist, beschränken Sie den Netzwerkzugriff auf Admin- und Webservice-Endpunkte und überwachen Sie administrative Änderungen. Joomla! hat für diese Schwachstellen keinen Workaround veröffentlicht.

Über den Patch hinaus

Diese Kombination zeigt, wie ein einziges CMS-Update Authentifizierungs-, Injection- und Zugriffskontrolllücken enthalten kann, die in unterschiedlichen Phasen eines Angriffs relevant sind. Nach dem Einspielen des Updates können wir mit Implementierungs- und Bewertungsleistungen prüfen, ob Ihre Joomla!-Instanzen und die zugehörigen Erweiterungen gegen diese Schwachstellenklassen gehärtet sind; mit Managed Detection and Response lassen sich Missbrauch von Zugangsdaten und unbefugte administrative Änderungen überwachen.