HTProtect.org
Unabhängige Informationsseite zu Joomla-Sicherheitslücken
DE
HTProtect HTProtect JOOMLA SECURITY
Neu htprotect.app - Zentrales Joomla Site Management für mehrere Websites
htprotect.org Sicherheitslücken & Update-Anleitungen
Neu htprotect.app - Zentrales Joomla Site Management für mehrere Websites
Sicherheitslücke

SP Page Builder – kritische RCE-Zero-Day, aktiv ausgenutzt

Kritisch Wird aktiv ausgenutztCVE: Im Quellartikel nicht genannt
Jetzt handeln
SP Page Builder umgehend auf 6.8.0 aktualisieren – die Zero-Day-Lücke wird aktiv ausgenutzt.
Sichere Version herunterladen Zu den Update-Schritten

Sichere Version: SP Page Builder 6.8.0 - 6.6.2 genügt nicht mehr · über JoomShaper (Konto erforderlich)

Auf einen Blick

Betroffene Erweiterung
SP Page Builder – Page-Builder, Komponente com_sppagebuilder
Hersteller
JoomShaper
Art der Lücke
Unauthentifizierter Datei-Upload (Funktion asset.uploadCustomIcon prüfte weder Login noch Dateityp) → Remote Code Execution (RCE)
Betroffene Versionen
Alle Versionen bis einschließlich 6.7.1 (zwei Lücken: Datei-Upload bis 6.6.1, SQL-Injektion bis 6.7.1)
Sichere Version
SP Page Builder 6.8.0 - 6.6.2 genügt nicht mehr   Download
Schweregrad
Kritisch · wird aktiv ausgenutzt
CVE
Im Quellartikel nicht genannt
Joomla-Kompatibilität
Joomla 4 / 5 / 6
Stand / Veröffentlichung
Stand: 16. Juni 2026

Worum geht es?

SP Page Builder von JoomShaper ist einer der verbreitetsten Page-Builder für Joomla. Die Funktion asset.uploadCustomIcon prüfte weder eine Anmeldung noch den Dateityp. Dadurch ließ sich ohne Login Schadcode hochladen und ausführen (Remote Code Execution).

Betroffen ist die gesamte 6.x-Reihe bis einschließlich 6.7.1. Zum Datei-Upload kam eine zweite, andere Lücke hinzu: eine SQL-Injektion ohne Anmeldung über den „Mehr laden“-Endpunkt (CVE-2026-65876), über die sich die Datenbank auslesen ließ. Das frühere Notfall-Update 6.6.2 schloss nur den Upload; sicher ist erst 6.8.0. Sie wird als kritische Zero-Day-Lücke eingestuft und bereits aktiv ausgenutzt.

Typische Spuren eines Angriffs: versteckte Super-User-Konten (z. B. mit E-Mail-Adressen, die auf @secure.local enden) sowie mehrere PHP-Backdoors. Das Update schließt nur die Eingangstür – bestehende Zugänge bleiben, bis sie entfernt werden. Bloßes Deaktivieren der Erweiterung schützt nicht.

Bin ich betroffen? – So prüfen Sie es

  1. Backend öffnen

    Melden Sie sich im Joomla-Administrator an.

  2. Version prüfen

    Öffnen Sie Erweiterungen›Verwalten›Verwalten und filtern Sie nach „SP Page Builder“.

  3. Version bewerten

    Liegt die Version bei 6.7.1 oder darunter, ist die Seite verwundbar. Sicher ist erst 6.8.0.

  4. Auf Einbruchsspuren prüfen

    Suchen Sie nach Super-Usern mit Adresse @secure.local sowie nach fremden .php-Dateien (u. a. unter images/…/fonts/ und users.php in /media/).

So schließen Sie die Lücke

Vor jedem Update: Backup
Sichern Sie Dateien und Datenbank, bevor Sie aktualisieren – so kommen Sie im Notfall zurück (z. B. über Akeeba Backup oder Ihren Hoster).
  1. Update-Center öffnen

    Gehen Sie zu System›Aktualisieren›Erweiterungen und klicken Sie auf Auf Updates prüfen.

  2. SP Page Builder aktualisieren

    Wählen Sie den Eintrag und aktualisieren Sie auf 6.8.0 oder neuer.

  3. Version prüfen

    Kontrollieren Sie, dass nun mindestens 6.8.0 installiert ist.

Manuelle Installation (Alternative)
Alternativ laden Sie das Paket von joomshaper.com und installieren es über Erweiterungen›Verwalten›Installieren. Wichtig: Keine alten Dateien zurückspielen.
Sichere Version herunterladen

Offizielle Bezugsquelle: über JoomShaper (Konto erforderlich). Achten Sie auf mindestens SP Page Builder 6.8.0 - 6.6.2 genügt nicht mehr.

Wurde die Seite schon angegriffen?

Aktiv ausgenutzt – Update allein genügt nicht
Die Lücke hinterlässt versteckte Super-User-Konten und mehrere PHP-Backdoors. Entfernen Sie diese gezielt, ändern Sie alle Passwörter und härten Sie die Upload-Ordner (z. B. per .htaccess, das die PHP-Ausführung dort unterbindet). Bloßes Deaktivieren der Erweiterung schützt nicht.

Du brauchst Hilfe bei der Bereinigung? Passende Fachleute findest du im Joomla-Dienstleisterverzeichnis.

Quellen & weiterführende Links

Maßgeblich sind stets die offiziellen Angaben des jeweiligen Herstellers. Diese Seite fasst öffentlich verfügbare Informationen neutral zusammen.

Ähnliche Lücken

Weitere Erweiterungen mit vergleichbaren Schwachstellen. Prüfen Sie, ob eine davon auf Ihrer Website installiert ist.

Helix3 FrameworkKritischwird aktiv ausgenutzt
JoomShaperMehr erfahren
Helix UltimateKritisch
JoomShaperMehr erfahren
Astroid FrameworkKritischwird aktiv ausgenutzt
TemPlazaMehr erfahren
Zur Übersicht aller Lücken
Unterstützer

Unterstützer dieser Seite

htprotect.org ist ein kostenloses, herstellerunabhängiges Informationsangebot. Unterstützt wird es von:

Hoster & Community
FC-Hosting

Joomla-Hoster aus Deutschland mit aktivem Community-Support – entdeckte den ersten Angriff auf die JCE-Sicherheitslücke.

fc-hosting.de
Initiator & Betreiber
Website-Bereinigung.de

Spezialisiert auf Bereinigung, Wartung und Absicherung von Joomla- und WordPress-Websites.

website-bereinigung.de

Dieses Projekt unterstützen

Du betreibst einen Hosting- oder Joomla-Dienst und möchtest htprotect.org fördern – und hier als Unterstützer sichtbar werden? Jede Unterstützung hilft, Betroffene schneller zu warnen und schneller zu schützen.

Lieber privat und ohne Nennung? Über einen kleinen Beitrag in die Kaffeekasse freuen wir uns genauso.

HTProtect jetzt unterstützen
Bauschild & Service

Herstellung und Montage von Bauschildern, Bauzäunen und Fassadenlösungen – inkl. Design und 3D-Visualisierung.

bauschildundservice.de
IT Specialista

Professioneller IT-Support aus Tschechien – Windows-Management, Domänen-Administration und Webhosting.

defendersoft.cz
onlineweg.de

Reiseportal aus Deutschland – Pauschalreisen, Hotels und Flüge online, mit persönlicher Reisebüro-Beratung.

onlineweg.de
Criadero

Kreativagentur aus Brandenburg – Webdesign, Printmedien, Fotografie und 360°-Panoramen aus einer Hand.

criadero.de
Jahn EDV-Dienst GmbH

IT-Dienstleister aus Wächtersbach – Joomla-Webseiten, PC-Service, Hard- und Software.

jahnedv.de
IsariConsult

Informationssicherheits-Beratung aus Berlin – Sicherheitsanalysen, Risikomanagement und ISO 27001 für KMU.

isari-consult.de
Schippelbein Mediengestaltung

Mediengestaltung aus Friedrichshafen – Joomla- und WordPress-Websites, Online-Shops, Grafik und 3D.

schippelbein.com