06723 - 998 52 87
In den vergangenen Tagen sind sowohl für Joomla als auch für WordPress wichtige Sicherheitsupdates erschienen. Das Joomla-Projekt hat am 29. September 2026 die Versionen 6.1.4 und 5.4.9 veröffentlicht, für WordPress erschienen im September die Versionen 7.1.1 und 7.1.2. Hier erfahren Sie, was sich geändert hat und was Sie tun sollten.
Joomla 6.1.4 und 5.4.9: Warum ist dieses Update wichtig?
Mit den neuen Joomla-Versionen werden 16 Sicherheitslücken geschlossen, deutlich mehr als bei den letzten Updates. Die Releases betreffen beide derzeit unterstützten Hauptversionen, also Joomla 6 und Joomla 5. Drei der Lücken sollten Sie besonders ernst nehmen: Die Zwei-Faktor-Anmeldung ließ sich über die Funktion „Angemeldet bleiben“ umgehen, unter bestimmten Umständen konnten unbefugt Benutzerkonten angelegt werden, und über die Funktion zum Leeren des Zwischenspeichers ließen sich Verzeichnisse auf dem Server löschen.
Hinzu kommen sieben Fälle, in denen Schadcode in den Browser von Besuchern oder Redakteuren eingeschleust werden konnte (Cross-Site Scripting), fünf Fehler bei der Prüfung von Zugriffsrechten sowie eine Lücke, über die sich die Website für Anfragen an fremde Server missbrauchen ließ. Außerdem enthalten beide Versionen rund 35 Fehlerbehebungen, unter anderem im Template-Manager und in der Medienverwaltung.
WordPress 7.1.1 und 7.1.2: Kritische Lücke wird bereits angegriffen
Für WordPress sind im September zwei Sicherheitsupdates kurz hintereinander erschienen. Version 7.1.1 vom 17. September schließt elf Sicherheitslücken und behebt zahlreiche Fehler im Kern und im Block-Editor. Nur fünf Tage später folgte am 22. September Version 7.1.2, die eine als kritisch eingestufte Lücke schließt: Unter bestimmten Voraussetzungen konnten Angreifer ohne Anmeldung Programmcode auf dem Server ausführen. Diese Lücke wird bereits aktiv für Angriffe ausgenutzt.
Wichtig: Auch wer 7.1.1 bereits installiert hat, benötigt zusätzlich das Update auf 7.1.2. Für ältere WordPress-Versionen hat das WordPress-Team entsprechende Sicherheitsupdates bereitgestellt.
Außerdem wurde im verbreiteten Veranstaltungs-Plugin The Events Calendar eine kritische Lücke geschlossen, über die Angreifer ohne Anmeldung die Kontrolle über eine Website übernehmen konnten. Wenn Sie dieses Plugin einsetzen, sollte mindestens Version 6.17.4.1 installiert sein.
Unser Update-Service für Sie
Sofern Sie den Medium-Tarif oder höher mit automatischem Update-Service nutzen, haben wir die Aktualisierung bereits für Sie durchgeführt. Sie müssen nichts weiter unternehmen.
Alle anderen Kundinnen und Kunden bitten wir, die Updates zeitnah über die Verwaltung ihrer Website einzuspielen. Denken Sie dabei bitte wie immer an das Backup VOR dem Update.
Nicht vergessen: Ihre Erweiterungen und Plugins
Bitte denken Sie neben Joomla und WordPress selbst auch an Ihre Erweiterungen und Plugins. In den vergangenen Wochen wurden auch in verbreiteten Joomla-Erweiterungen schwerwiegende Sicherheitslücken gefunden und behoben, unter anderem im SP Page Builder und im Veranstaltungskalender iCagenda. Bei diesen Lücken genügte ein Seitenaufruf ohne Anmeldung, um Daten der Website auszulesen oder sogar Schadcode einzuschleusen. Beim SP Page Builder sollte mindestens Version 6.9.1 installiert sein, bei iCagenda mindestens Version 4.0.12.
Ebenfalls betroffen ist die Newsletter-Erweiterung AcyMailing, die es sowohl für Joomla als auch für WordPress gibt. Version 11.1.0 schließt zwei Sicherheitslücken, darunter eine kritische: Über eine Postfach-Funktion der Enterprise-Version konnten Angreifer per E-Mail Schadcode auf den Server bringen. Bitte aktualisieren Sie AcyMailing auf mindestens Version 11.1.0, unabhängig davon, welche Edition Sie einsetzen.
Prüfen Sie deshalb in der Verwaltung Ihrer Website, ob Updates bereitstehen: bei Joomla unter Erweiterungen und Aktualisieren, bei WordPress unter Dashboard und Aktualisierungen.
Ein Punkt ist dabei besonders wichtig: Kostenpflichtige Erweiterungen und Plugins lassen sich nur so lange aktualisieren, wie Ihre Lizenz beim Hersteller gültig ist. Ist die Lizenz abgelaufen, wird Ihnen das Update in Ihrer Website gar nicht erst angeboten, und auch unser Update-Service kann diese dann nicht aktualisieren. Bitte prüfen Sie deshalb, ob Ihre Lizenzen noch aktiv sind.
Wie lange wird Joomla 5 noch unterstützt?
Joomla 5.4 erhält noch bis zum 13. Oktober 2026 allgemeine Fehlerbehebungen und bis zum 12. Oktober 2027 Sicherheitsupdates. Ihre Website ist also nicht gefährdet, wenn Sie vorerst auf Joomla 5 bleiben. Wenn Sie einen Wechsel auf Joomla 6 planen möchten, sprechen Sie uns gerne an.
Weitere Details finden Sie in den offiziellen Ankündigungen: Joomla 6.1.4 und 5.4.9 sowie WordPress 7.1.2.