Joomla 5.4.9 und 6.1.4: Sicherheitsupdates gegen Umgehung der Zwei-Faktor-Anmeldung

Joomla hat am 18. August und am 29. September 2026 zwei Sicherheitsupdates veröffentlicht, zusammen mit mehr als 25 Meldungen. Joomla schreibt zu beiden: „This is a security release and we strongly recommend installing it as soon as possible.“

Das Wichtigste in Kürze

• Zwei Lücken erlauben es, die Zwei-Faktor-Anmeldung zu umgehen.
• Eine weitere kann unter bestimmten Bedingungen zur Ausführung von Code auf dem Server führen.
• Sicher sind Joomla 5.4.9 und 6.1.4 oder neuer. Aktuell sind 5.4.10 und 6.2.0.
• Joomla 3 und Joomla 4 bekommen keine Updates mehr und bleiben offen.

Was ist passiert?

Die wichtigsten Lücken, mit der Einstufung aus den CVE-Einträgen, die Joomla selbst angelegt hat:

• Zwei-Faktor-Anmeldung umgehen (CVE-2026-73337 und CVE-2026-92227, hoch, 8,2 von 10): Wer die Zwei-Faktor-Anmeldung eingerichtet hat, verlässt sich darauf, dass ein Passwort allein nicht reicht. Über zwei Fehler ließ sich der zweite Schritt überspringen, einmal über fehlende Prüfungen, einmal über das Cookie für „Angemeldet bleiben“.
• SHTML-Dateien hochladen (CVE-2026-73373, hoch, 8,9 von 10): Joomla hat SHTML-Dateien nicht als gefährlich behandelt. Führt der Server solche Dateien aus, kann darüber Code laufen. Dafür braucht der Angreifer allerdings einen Zugang mit hohen Rechten. Betroffen sind alle Versionen bis 5.4.7 und 6.1.2, auch Joomla 3.
• Gast-Konten anlegen (CVE-2026-90907, mittel): Ohne Anmeldung ließen sich Benutzerkonten mit Gast-Rechten anlegen.

Hinweise auf Angriffe gibt es laut den CVE-Einträgen bisher nicht.

Bist du betroffen?

Ja, wenn deine Website auf Joomla 4.0 bis 5.4.8 oder 6.0 bis 6.1.3 läuft. Die Version siehst du im Backend im Kontrollzentrum unter Systeminformationen.

Auf Joomla 3 oder 4 bekommst du kein Update. Joomla 3 bekommt seit August 2023 keine Updates mehr, Joomla 4 seit Oktober 2025. Joomla 5 bekommt seit Oktober 2026 nur noch Sicherheitsupdates, bis Oktober 2027.

Was du jetzt tun solltest

1. Joomla aktualisieren auf die neueste Version von 5.4 oder 6.
2. Erweiterungen prüfen. Im selben Zeitraum gab es kritische Lücken in verbreiteten Erweiterungen, über die ohne Anmeldung Dateien hochgeladen werden konnten, etwa in Balbooa Forms und RSFiles. Aktualisiere alle Erweiterungen mit.
3. Joomla 3 oder 4: Plan das Update auf Joomla 5 oder 6. Das ist ein größerer Schritt, weil Templates und Erweiterungen mitziehen müssen. Wir prüfen das vorher und stellen auf einer Kopie um, PHP gleich mit.
4. PHP prüfen. Seit dem 21. Oktober ist PHP2Shell bekannt, eine kritische Lücke in PHP selbst. Ein aktuelles Joomla schützt davor nicht.

Quellen

• Joomla: Joomla 6.1.3 und 5.4.8 Security and Bugfix Release, 18. August 2026
• Joomla: Joomla 6.1.4 und 5.4.9 Security and Bugfix Release, 29. September 2026
• Joomla Security Centre: MFA Authentication Bypass, MFA bypass through rememberme cookies, Unrestricted uploads of SHTML files
• CVE-Einträge: CVE-2026-73337, CVE-2026-92227, CVE-2026-73373, CVE-2026-90907
• Joomla: Roadmap