Joomla galt lange als ruhiges Pflaster: Über Jahre kamen nur wenige Dutzend Sicherheitslücken pro Jahr ans Licht. 2026 hat sich das grundlegend geändert. Seit Juli erscheinen Meldungen in einem Tempo, das es bei Joomla bisher nicht gab – und Angreifer nutzen einige der Lücken bereits aktiv aus. Gleichzeitig laufen die Fristen für ältere Joomla-Versionen ab. Was hinter der Welle steckt und was das für Betreiber einer Joomla-Website bedeutet.
Für Joomla gibt es keine Jahresberichte, wie sie Patchstack für WordPress veröffentlicht. Wir haben deshalb selbst gezählt, und zwar in der US-Schwachstellendatenbank NVD: alle veröffentlichten Sicherheitslücken (CVEs), deren Beschreibung Joomla nennt – Kern und Erweiterungen zusammen. Von 2020 bis 2025 waren es zwischen 12 und 62 pro Jahr, insgesamt 194. Allein bis zum 5. Oktober 2026 kamen 371 hinzu – fast doppelt so viele wie in den sechs Jahren davor zusammen.
Angreifer nutzen bereits vier Lücken aus
Dass die Welle kein reines Zahlenspiel ist, zeigt der Katalog der US-Behörde CISA, die nachweislich ausgenutzte Lücken sammelt. Er führt vier Lücken in Joomla-Erweiterungen aus diesem Jahr: im Editor JCE, im SP Page Builder, im Page Builder CK und in Balbooa Forms. Allen vier ist laut CISA gemeinsam, dass Angreifer ohne Anmeldung Dateien hochladen und darüber Code auf dem Server ausführen können.
Wie schnell das geht, beschreibt die Plattform mySites.guru: Zwischen Mitte Juni und Ende Juli fand ihr Team 19 Lücken in 17 verbreiteten Erweiterungen, fünf davon mit der höchsten CVSS-Bewertung 10,0. Betroffen waren unter anderem AcyMailing, Phoca Download, DPCalendar, iCagenda, Gridbox sowie die Templates Helix3 und Helix Ultimate. „Several of the flaws above were exploited in the wild within hours of the fix appearing“ – Angreifer nutzten mehrere Lücken also schon wenige Stunden nach Erscheinen des Updates aus. Bemerkenswert: Zuerst entdeckten Menschen alle 19 Lücken beim Lesen des Quellcodes, KI setzte das Team laut mySites.guru nur ergänzend ein.
Die Fristen: Joomla 3, 4, 5 und 6
Neben den Lücken zählen die Supportfristen. Joomla 3 erhält seit August 2023 keine Sicherheitsupdates mehr, Joomla 4 seit Oktober 2025. Für Joomla 5 enden die regulären Fehlerbehebungen am 13. Oktober 2026, Sicherheitsupdates gibt es laut offizieller Roadmap noch bis zum 12. Oktober 2027. Joomla 6 erhält Sicherheitsupdates bis zum 16. Oktober 2029.
Ende der Sicherheitsupdates je Joomla-Version. Quellen: Joomla Roadmap (Joomla 5 und 6), endoflife.ai (Joomla 3 und 4).
Für eine Website auf Joomla 3 oder 4 heißt das: Für neue Lücken im Kern gibt es dort keine Updates mehr. Und auch Joomla 5 hat nur noch ein Jahr Sicherheitsunterstützung vor sich. Der Wechsel auf Joomla 6 ist dabei kein gewöhnliches Update, sondern eine eigene Migration, die Zeit für Planung und Tests braucht.