Maximaler CVSS-Score, freie Wildbahn, KEV-Eintrag
Die US-Cybersicherheitsbehörde CISA hat CVE-2026-48907 in den Known Exploited Vulnerabilities Catalog aufgenommen. Betroffen ist der weitverbreitete Joomla Content Editor (JCE) in den Versionen 1.0.0 bis 2.9.99.4. Behoben ab 2.9.99.5, weiter gehärtet in 2.9.99.6.
Angreifer benötigen keine Anmeldung. Sie legen über die kaputte Zugriffskontrolle ein neues Editor-Profil an, laden eine PHP-Webshell hoch und übernehmen den Server. Öffentliche Exploits, automatisierte Scanner und bestätigte Angriffe machen sofortiges Handeln zwingend.
Betroffene JCE-Versionen
JCE zählt zu den meistgenutzten Editor-Erweiterungen für Joomla und läuft auf Unternehmensseiten, Vereinsportalen und Behördenwebsites gleichermaßen.
Wie der Angriff abläuft
Vier Schritte vom anonymen HTTP-Request bis zur vollständigen Server-Übernahme – komplett ohne gültige Zugangsdaten.
Angreifer ruft anonym index.php?option=com_jce&task=profiles.import auf – ohne Login, ohne Konto.
Über die fehlerhafte Zugriffskontrolle wird ein neues Editor-Profil mit Upload-Rechten angelegt.
Beliebige .php-Dateien werden auf den Webserver geladen – die Datei-Typ-Whitelist wird umgangen.
Aufruf der Datei führt PHP-Code direkt aus. Webshell bleibt – Update entfernt sie nicht.
Mögliche Folgen einer Kompromittierung
Wer den Webserver verliert, verliert oft auch alles, was dahinter steht.
Vollständige Kontrolle über Webserver und Filesystem.
Inhalte werden ausgetauscht, Reputation und SEO leiden.
Drive-by-Downloads gegen Besucher und Kunden.
Kundendaten, Newsletter-Listen, Backend-Credentials.
Server wird zum Phishing-Host oder Spam-Relay.
Webserver als Sprungbrett ins interne Netzwerk.
Update reicht nicht – diese IoCs jetzt prüfen
Das Update schließt die Lücke, entfernt aber keine bereits installierten Hintertüren. Diese Indikatoren gehören in jede Post-Patch-Forensik.
US-Bundesbehörden müssen bis 19. Juni 2026 patchen
Die Aufnahme in den Known Exploited Vulnerabilities Catalog erfolgt nur, wenn reale Angriffe nachgewiesen sind. Für Unternehmen ist das eines der stärksten verfügbaren Warnsignale im Schwachstellenmanagement – wer Joomla mit JCE einsetzt, sollte den Patch nicht in den nächsten Wartungs-Slot legen, sondern sofort.
Handlungsempfehlungen
Sieben-Punkte-Plan für Administratoren, IT-Leitung und Agenturen.
Häufige Fragen
Schnelle Antworten zu CVE-2026-48907, betroffenen Versionen und Sofortmaßnahmen.
Joomla- oder Webserver-Hack im Kreis Heinsberg?
Wasacon übernimmt Incident Response, Webshell-Forensik und Härtung – von der ersten Analyse bis zum sauberen Wiederanlauf. EDR auf dem Webserver, WAF vor Joomla, 24/7-Monitoring.
Fazit
CVE-2026-48907 gehört zu den gefährlichsten Joomla-Schwachstellen der letzten Jahre. Die Kombination aus CVSS 10.0, öffentlichen Exploits, automatisierten Angriffen und bestätigter Ausnutzung in freier Wildbahn macht schnelles Handeln zwingend. Wer den Joomla Content Editor einsetzt und noch nicht aktualisiert hat, sollte das Update als höchste Priorität behandeln – und parallel prüfen, ob bereits eine Webshell auf dem Server liegt. Eine einzige ungepatchte Erweiterung genügt, um einen kompletten Webserver zu verlieren. Der nächste automatisierte Scanner wartet nicht auf das nächste Wartungsfenster.
