Neues Sicherheitsrelease für JCE-Editor

    Moin, und genau deswegen ist es so wichtig, möglichst alle Anforderungen die man auf seiner Seite hat, mit den Core - Funktionen zu lösen. Ich habe fast alle 3rd Erweiterungen rausgeschmissen, Backup und Spam Schutz über EJB und ECC+ gelöst und jetzt als dicken Brocken nur noch Astroid übrig. Und so lange ich diese Dinger noch in der Seite nutze, werde ich auch HTProtect nutzen, als zusätzlichen Schutz!
    Ich werde meine noch 12 Seiten jetzt nach und nach auf Cassiopeia umstellen, auch wenn es vielleicht etwas länger dauert, es so gut wie keinen SiteBuilder gibt und vieles wirklich von Hand mit Code gelöst werden muss. Aber hier sehe ich auch wieder eine Chance für die KI, mir bei der Erstellung der user.css und ggf Overrides etc. zu helfen.
    Aber danach kann man ziemlich sicher sein, das sehr wenige Sicherheitsprobleme auf einen Zukommen, wenn man die wichtigsten Regel befolgt:

    • 1. Joomla und alle Erweiterungen aktuell halten
    • 2. Nicht benötigte Erweiterungen entfernen
    • 3. Automatisierte Backups einrichten
    • 4. Wiederherstellung testen
    • 5. Den /administrator-Bereich zusätzlich schützen
    • 6. Starke Passwörter und 2-Faktor-Authentifizierung verwenden
    • 7. Benutzerrechte sauber vergeben
    • 8. Uploads und Dateirechte im Blick behalten
    • 9. Server-Logs und verdächtige Dateien prüfen
    • 10. Im Zweifel professionelle Analyse oder Bereinigung durchführen lassen

    Quelle: Viktor Vogel von Kubik-Rubik.de

    Natürlich hatten wir vor ca. 10 Jahren (Dezember 2015) auch mal ein ziemlich großes Loch im Rumpf, und niemand kann ausschließen, dass zukünftige KI Modelle nicht auch wieder was im Core finden, aber der Architektur und dem Aufbau von Joomla bin ich sicher, dass wir auch das überstehen werden.

    So, und jetzt raus, 30 Grad Sonne und 20 Grad Nordsee genießen :)

    WBR from de-DE

    Wenn ich eins gelernt habe: Keep it simple and you keep it long! :)

    PS

    aus eigener Erfahrung gibt es viele Vereine, Geschäfte, sogar Gemeinden, die einen Hobby-Admin haben (Mitglied oder Mitarbeiter), der mal schnell mit Joomla / Wordpress eine Seite erstellt hat und inhaltlich pflegt. Leider gibt es da immer noch die Meinung, dass man das einmal einrichtet und dann läuft das...

    Habe neben den von mir betreuten 5 Seiten (von denen ich 3 auch von nem Hobby-Admin geerbt habe) eine weitere (Vereinsseite mit JCE) davor bewahrt, gehackt zu werden, weil ich den Admin sicherheitshalber angerufen habe. Der schaut z.B. auch nur rein, wenn es inhaltlich was zu ändern gibt...

    Zitat von Norbert.R

    Habe neben den von mir betreuten 5 Seiten (von denen ich 3 auch von nem Hobby-Admin geerbt habe) eine weitere (mit JCE) davor bewahrt, gehackt zu werden, weil ich den Admin sicherheitshalber angerufen habe. Der schaut z.B. auch nur rein, wenn es inhaltlich was zu ändern gibt...

    Joomla informiert bei Updates und auf Wunsch werden Core Dateien ja mittlerweile automatisch aktualisiert. Muss ja nur einmalig aktivieren. Für Erweiterungen kann man sich einem Plugin bedienen, was Mails versendet, wenn Erweiterungen zum Update bereitstehen. zero24 hat das bereits länger realisiert.

    Zitat von firstlady

    Und ich wette dass in mindestens 80% dieser Seiten überhaupt keine Notwendigkeit für den JCE besteht.

    Einen Grund sehe ich darin, dass JCE in der Bedienung den gewohnten Editoren der Office-Pakete und Mailprogramme ähnlicher ist.
    Das macht viel aus, wenn ich Amateuren beibringen soll, wie sie auf einer Joomla-Seite Inhalte einstellen und ändern.

    Zitat von flotte

    Um welche Erweiterung geht es dabei? Würde ich mir gerne mal ansehen.

    GitHub - zero-24/plg_task_extensionupdates: This Joomla plugin checks for updates of extensions and sends an eMail once available, the code is based on the core plg_task_updatenotification plugin.
    This Joomla plugin checks for updates of extensions and sends an eMail once available, the code is based on the core plg_task_updatenotification plugin. -…
    github.com

    Ich nutze dieses Plugin "Aktualisierungsbenachrichtigung für Erweiterungen" schon länger. Besonders interessant finde ich es bei Websites, die (sehr) selten inhaltlich geändert werden und bei denen ich deshalb "Automatische Joomla-Updates" eingerichtet habe. Letzteres sorgt für die automatischen Updates von Joomla innerhalb einer Joomla-Hauptversion; das Task-Plugin informiert den Webmaster, wenn an den Erweiterungen ein Update fällig ist, praktischerweise mit dem Link auf die Erweiterungs-Updates auf der Website.

    Das ermöglicht dem genannten "Hobby-Admin", nur dann (aber auch immer dann) ins Backend zu schauen, wenn es etwas zu aktualisieren gibt.

    Ich habe es mir zur Angewohnheit gemacht, bei den betroffenen Seiten sofort tätig zu werden, wenn ich eine entsprechende Mail von Tobias Zulaufs Task-Plugin bekomme.

    Freundliche Grüße aus Wächtersbach, Rolf Dautrich

    Zitat von flotte

    Keine Ahnung was hier aktuell los ist. Der eine postet öffentlich eine gehackte Phishingseite, der andere verteilt /veröffentlicht Hackerscripte.... Mannoman.... Ist wohl zu heiss heute.

    Und es gibt den einen, sowie eine andere, welche meinen, ein paar Zeilen htaccess sei ein "Hackerscript" .... Mannoman .... Was ist denn hier los? Es mangelt! Aber gut, Undank ist der Welt Lohn.

    Für alle anderen, denen an objektiver Information gelegen ist: Bitte auch htaccess checken!

    Zitat von WM-Loose

    die auf ein CMS bauen, was in Punkto Sicherheit weit vorne liegt.

    Joomla ist bloß weniger verbreitet mit deutlich kleinerem "Ökosystem", daher kein so lohnenswertes Ziel wie WordPress.

    Hallo aus Norddeutschland,

    ich habe auch gerade eine Seite bereinigt die über JCE gehakt worden ist.

    hiermal eine Zusammenfassung und Auswertung (mit KI Unterstützung gemacht ) hoffe das ist ok,

    In den Access-Logs tauchen wiederholt verdächtige Requests im Zusammenhang mit JCE auf, insbesondere:

    Code
    POST /index.php?option=com_jce&task=profiles.import

    Der erste bestätigte erfolgreiche Aufruf einer verdächtigen PHP-Datei erfolgte am:

    10.06.2026 um 12:58:00 Uhr

    Code
    GET /tmp/lanciauSKRhgkHR.php
Status: 200
IP: 104.194.9.0

    Direkt davor gab es mehrere erfolgreiche POST-Requests auf:

    Code
    /index.php?option=com_jce&task=profiles.import

    Danach wurden verschiedene mögliche Upload-Pfade getestet, unter anderem:

    Code
    /tmp/
/administrator/tmp/
/cache/
/logs/
/images/
/media/
/media/jce/
/uploads/

    Später wurde zusätzlich eine Webshell im Webroot sichtbar:

    Code
    14.06.2026 21:06:15
GET /bce112961b5a.php
Status: 200
IP: 198.186.131.0

    Auch hier gab es im zeitlichen Umfeld wieder Requests auf:

    Code
    POST /index.php?option=com_jce&task=profiles.import

    sowie erfolgreiche Zugriffe auf Dateien unter /tmp/, z. B.:

    Code
    /tmp/906906.php
/tmp/906906.php.PhP
/tmp/906906.PhP

    In den folgenden Tagen wiederholte sich das Muster mehrfach:

    Code
    POST /index.php?option=com_jce&task=profiles.import
GET /tmp/[zufälliger Name].php / .phtml / .phar / .shtml
GET oder POST /bce112961b5a.php

    Weitere auffällige Dateien/Pfade waren unter anderem:

    Code
    /tmp/ctf.xml.php
/tmp/391391.*
/tmp/428428.*
/tmp/276276.*
/tmp/624624.*
/tmp/509509.*
/tmp/822822.*
/33024/index.php
/03b41/index.php
/72f9b/index.php

    Logs ab dem 20.04.2026 wurden geprüft. Vor dem 10.06.2026 waren zwar Scan- und Angriffsversuche sichtbar, aber kein bestätigter erfolgreicher Aufruf einer verdächtigen PHP-Datei.

    Ein früherer JCE-Versuch war z. B.:

    Code
    15.05.2026 10:43:18
GET /index.php?option=com_jce&task=plugin&plugin=imgmanager&file=imgmanager&method=form&action=upload
Status: 301
IP: 95.215.32.0
    Zitat von deltapapa

    ... kann man ziemlich sicher sein, das sehr wenige Sicherheitsprobleme auf einen Zukommen, wenn man die wichtigsten Regel befolgt:

    ...

    • 5. Den /administrator-Bereich zusätzlich schützen

    Außerdem sinnvoll ist es meiner Meinung nach z.B. auch den "public-Dateiordner" auf öffentlich zugänglichen Joomla-Websites einzurichten und zu verwenden oder falls dies nicht möglich ist zumindest die zusätzlichen Einträge in der .hatccess im Joomla-Root-Dateiordner vorzunehmen wie in #4 , #11 und #12 dort:

    Web Application Firewall (WAF)

    von mir erläutert.

    Dies verhindert dann z.B. zumindest auch das aufrufen von Schadcode und/oder Webshell in unberechtigt hinzugefügten php-Dateien. Zumindest solange die .htaccess-Datei nicht per Schadcode gelöscht oder entsprechend verändert wurde...

    Zitat von Elwood

    Was meinst du mit 'dicken Brocken'?

    Moin Elwood,

    naja, Astroid mit Core Funktionen zu ersetzen ist schon ein dicker Brocken. Damit meine ich nicht den PageBuilder von Astroid, sondern das gerenderte Frontend, das Endergebnis am Ende.

    Zudem: Leider hat sich Astroid aus meiner Sicht in die falsche Richtung entwickelt. Zu Anfang (so Okt22) habe ich mich in die Software eingearbeitet, durch ausprobieren und lesen. Viele Issues gemeldet, richtig aktiv. Sonny ist dann angefangen, immer mehr Funktionen mit in Astroid einzubauen, und ich muss sagen, ich nutze davon vielleicht 5% und steige auch überhaupt nicht mehr durch. Ich finde, nur weil man etwas in eine Software einbauen kann, muss man das nicht unbedingt tun, damit sie besser wird. Naja, und dann der Angriff (der sehr schnell gepatcht wurde aber aus meiner Sicht nicht gut von seitens des Entwicklers kommentiert wurde) haben mich zum Nachdenken gebracht, ob ich Astroid unbedingt brauche. Und ich denke nein, das kann ich auch mit Cassiopeia. Ist es so komfortabel wie Astroid: Auf keinen Fall. Aber da muss ich einmal durch, und dann keine Gedanken mehr ums Template machen. Ja, die Changes damals von z.B. von J2.5 auf 3 waren, sehr sehr unglücklich, aber ich glaube auch diese Zeiten sind vorbei.

    Ich habe sogar schon überlegt, eine kleine Komponente zu entwickeln, aus der man 3 Vorlagen auswählen kann, und die dann die user.css, Overrides, Schriften und ggf Module und Mediendateien erstellt. Das wäre für mich eigentlich die perfekte Lösung, dass man auf Basis von Cassiopeia einmal eine Vorlage auswählt, und dann werden die Einstellungen automatisch übernommen werden, aus 100% Core Möglichkeiten und ohne Schnick/Schnack. Und dann von Hand anpassen.

    Lg,

    deltapapa

    WBR from de-DE

    Wenn ich eins gelernt habe: Keep it simple and you keep it long! :)

    deltapapa ich sehe das ähnlich wie du und habe mich mit Sonny vor ein paar Wochen dazu ausgetauscht. Er wird sich etwas bremsen und neue Features eher in der Pro Version freischalten. Er macht dies ja nicht aus Spaß, weil er nichts anderes zu tun hat sondern weil die Konkurenz nicht schläft und User immer mehr Features wünschen. Grundsätzlich möchte er halt möglichst viel in der Free Version anbieten. Ja, ich gebe dir recht, dass es etwas Einarbeitung benötigt aber man muss ja nicht alles nutzen und kann sich auf wenige Standards konzentrieren. Dass es dir zu kompliziert erscheint, zeigt mir aber auch, dass dich diese Features interessieren, sonst hättest du es dir ja nicht angesehen ;)

    Muss halt jeder für sich selbst entscheiden, was Ihm ausreicht oder wieviel man an Zeit investieren möchte.

    Deine Überlegungen kann ich aber sehr gut nachvollziehen.