SP Page Builder Sicherheitslücke bei Joomla: Was Website-Betreiber jetzt wissen müssen
Wer seine Joomla-Website mit dem Baukasten-Tool SP Page Builder gestaltet, sollte jetzt genau hinschauen: Die SP Page Builder Sicherheitslücke aus dem Sommer 2026 zählt zu den ernsteren Vorfällen der letzten Zeit im Joomla-Umfeld. Angreifer konnten dabei ohne Anmeldung Dateien auf Webserver hochladen und damit im schlimmsten Fall die komplette Kontrolle über eine Website übernehmen. Wer betroffen ist, wie man das erkennt und welche Schritte jetzt sinnvoll sind, erklären wir dir im Detail.
SP Page Builder: Praktisches Werkzeug, aber nicht auf jeder Joomla-Seite installiert
Joomla ist ein Content-Management-System, mit dem sich Websites verwalten und pflegen lassen, ohne bei jeder Änderung Code schreiben zu müssen. Ergänzt wird Joomla durch Erweiterungen, die zusätzliche Funktionen bringen. SP Page Builder ist eine solche Erweiterung: Damit lassen sich Seiten und Inhalte über eine grafische Oberfläche per Drag-and-drop gestalten, ganz ohne Programmierkenntnisse. Genau diese Einfachheit macht das Tool bei kleinen und mittleren Unternehmen beliebt, etwa bei Handwerksbetrieben oder Vereinen, die ihre Website selbst pflegen wollen.
Wichtig zu wissen: Nicht jede Joomla-Website nutzt SP Page Builder. Ob eine Seite betroffen ist, hängt davon ab, ob die Erweiterung überhaupt installiert ist und welche Version läuft. Ein Blick in die Erweiterungsverwaltung im Joomla-Backend gibt hier schnell Klarheit.
Die Sicherheitslücke im Detail: zwei Wellen innerhalb weniger Wochen
Juni 2026: Datei-Upload ohne Anmeldung
Im Juni 2026 wurde eine besonders kritische Schwachstelle in SP Page Builder bekannt. Betroffen waren alle Versionen bis einschließlich 6.6.1. Angreifer konnten dabei ganz ohne vorherige Anmeldung Dateien auf den Webserver hochladen. Statt eines harmlosen Symbols oder Bildes ließ sich so auch schädlicher Programmcode einschleusen und anschließend ausführen. Besonders brisant: Diese Lücke war kein theoretisches Risiko, sondern wurde bereits nachweislich für aktive Angriffe genutzt. Zu den möglichen Folgen zählten das Auslesen und Manipulieren von Daten, veränderte Website-Inhalte, zusätzlich angelegte Administrator-Zugänge, eingeschleuste Schadsoftware und versteckte Hintertüren für spätere Zugriffe. Der Hersteller reagierte mit Version 6.6.2, die diese Lücke schloss.
Juli 2026: Weitere Lücken trotz erstem Update
Bei einer erneuten Prüfung Ende Juli 2026 zeigte sich: Das war noch nicht das Ende der Geschichte. Es tauchten weitere Schwachstellen auf, die auch die zwischenzeitlich aktuelle Version 6.7.0 betrafen. Über diese Lücken konnten Angreifer auf Datenbankinhalte zugreifen, Kontaktformulare für Spam oder gefälschte E-Mails missbrauchen, Datenbankabfragen manipulieren und sogar Dateien auf dem Webserver löschen. Anders als im Juni war dafür nicht immer eine fehlende Anmeldung nötig – teilweise reichte bereits ein Benutzerkonto mit eingeschränkten Rechten aus. Behoben wurden diese Probleme mit Version 6.7.1. Für Website-Betreiber bedeutet das: Ein Update auf 6.6.2 allein reicht nicht mehr aus. Mindestens Version 6.7.1 sollte installiert sein.
Warum ein Sicherheitsupdate allein nicht genug ist
Hier passiert häufig ein Missverständnis: Viele denken, mit dem Update sei die Sache erledigt. Ein Sicherheitsupdate schließt aber nur den bekannten Zugangsweg – es entfernt nicht automatisch, was ein Angreifer davor bereits hinterlassen hat. Stell dir vor, jemand hat sich über ein defektes Schloss Zugang zu einem Gebäude verschafft und sich heimlich einen Zweitschlüssel angefertigt. Tauscht man danach nur das Schloss aus, funktioniert der ursprüngliche Einbruchsweg zwar nicht mehr – der Zweitschlüssel oder ein versteckter Nebeneingang bleiben aber bestehen. Genauso können Angreifer bei einer erfolgreichen Attacke zusätzliche Administrator-Konten anlegen, Schadsoftware hinterlegen, versteckte Zugänge einrichten, Dateien verändern oder Zugangsdaten und Sicherheitsschlüssel auslesen – und das bleibt nach einem reinen Update oft unentdeckt.
War eine Website also über einen längeren Zeitraum mit einer betroffenen Version erreichbar, sollte zusätzlich geprüft werden, ob bereits ein Angriff stattgefunden hat. Kompromittierte Websites fallen dabei nicht automatisch sofort auf – im Gegenteil, viele Angreifer haben ein Interesse daran, möglichst lange unentdeckt zu bleiben, um den Zugang länger nutzen zu können.
Woran du eine mögliche Kompromittierung erkennst
Ein paar Warnzeichen kannst du auch ohne technisches Fachwissen selbst prüfen. Dazu zählen unbekannte Benutzer- oder Administrator-Konten, gerade auch solche mit unauffällig klingenden Namen, sowie Admin-Konten mit einer auffälligen E-Mail-Endung wie „@secure.local“. Weitere Hinweise sind unbekannte oder veränderte Dateien, Inhalte, die sich ohne erkennbaren Grund geändert haben, Weiterleitungen auf fremde Seiten, Warnmeldungen von Browser oder Hosting-Anbieter, eine ungewöhnlich hohe Anzahl versendeter E-Mails oder eine plötzlich hohe Serverauslastung.
Fehlen diese Anzeichen, heißt das aber nicht automatisch, dass kein Angriff stattgefunden hat. Manche Schadsoftware ist bewusst so programmiert, dass sie im laufenden Betrieb kaum auffällt. Eine wirklich verlässliche Aussage lässt sich häufig nur durch eine technische Prüfung von Dateien, Benutzerkonten und Serverprotokollen treffen.
Vier Fragen, die du dir jetzt stellen solltest
- Ist SP Page Builder auf meiner Website überhaupt installiert?
- Welche Version wird aktuell verwendet?
- Wie lange war eine veraltete, anfällige Version öffentlich erreichbar?
- Gibt es bereits konkrete Hinweise auf eine Kompromittierung?
Läuft bei dir eine Version bis einschließlich 6.7.0, solltest du zeitnah aktualisieren. Aber auch bei neueren Versionen lohnt sich ein Abgleich mit dem aktuellen Stand des Herstellers, da sich die Situation weiterentwickeln kann. Je länger die Lücke öffentlich erreichbar war, desto wichtiger wird eine zusätzliche technische Prüfung.
Schritt für Schritt zur sicheren Website
Wenn du selbst Hand anlegen möchtest oder mit deinem internen IT-Team vorgehst, empfiehlt sich diese Reihenfolge:
- Vollständige Datensicherung von Dateien und Datenbank anlegen – und zwar außerhalb des betroffenen Servers, damit das Backup selbst nicht ebenfalls kompromittiert sein kann.
- Installierte Versionen von Joomla, allen Erweiterungen und dem verwendeten Template prüfen.
- Sicherheitsupdate mindestens auf Version 6.7.1 durchführen.
- Nach dem Update alle wichtigen Funktionen testen: Formulare, Navigation, Seiteninhalte und Darstellung auf verschiedenen Endgeräten.
- Bei betroffener Version zusätzlich eine technische Untersuchung von Benutzerkonten, Dateien, Datenbank und Serverprotokollen durchführen.
- Bei Verdacht auf einen erfolgreichen Angriff Passwörter, Sicherheitsschlüssel und Zugangsdaten austauschen.
Wenn ein einfaches Update nicht ausreicht
Gerade bei älteren Joomla-Websites ist ein Update nicht immer so unkompliziert, wie es klingt. Häufig treten Kompatibilitätsprobleme mit dem System, dem Template oder anderen Erweiterungen auf. Ein unvorbereitetes Update kann dann zu Darstellungsfehlern, Funktionsausfällen oder im ungünstigsten Fall zu einer komplett nicht mehr erreichbaren Website führen. Vor jeder Aktualisierung solltest du deshalb den technischen Stand, mögliche Abhängigkeiten zwischen den Komponenten und die Wiederherstellbarkeit des Backups prüfen. Bei stark veralteten Systemen kann es langfristig sogar wirtschaftlicher sein, statt eines reinen Updates gleich eine Migration auf eine aktuelle Joomla-Version oder einen Relaunch anzugehen.
Sicherheit ist ein laufender Prozess, kein einmaliger Haken
Wichtig zum Schluss: Sicherheitslücken können auch bei etablierten, weit verbreiteten Erweiterungen auftreten. Das macht weder Joomla noch SP Page Builder grundsätzlich unsicher. Entscheidend ist, wie schnell verfügbare Sicherheitsupdates tatsächlich installiert werden. Genau hier setzen wir bei der SEO-Küche an – unser Ansatz „Online-Marketing beginnt mit Verstehen“ gilt nicht nur für Kampagnen, sondern genauso für technische Themen: Bevor wir irgendetwas an einer Website ändern, verschaffen wir uns erst ein vollständiges Bild davon, welche Systeme, Erweiterungen und Versionen tatsächlich im Einsatz sind. Nur so lässt sich verhindern, dass ein Update mehr Schaden anrichtet als die Lücke selbst.
Zu einer regelmäßigen Website-Wartung gehören deshalb CMS-Updates, die Aktualisierung von Erweiterungen und Templates, regelmäßige und geprüfte Backups, eine Kontrolle von Benutzerkonten und Zugriffsrechten sowie technische Sicherheitsprüfungen. Updates sollten dabei nicht erst dann erfolgen, wenn Probleme sichtbar werden – viele erfolgreiche Angriffe bleiben zunächst genau deshalb unbemerkt.
Wie die SEO-Küche unterstützen kann
Bist du dir unsicher, ob deine Website betroffen ist oder wie du am besten vorgehst? Wir prüfen für dich, ob SP Page Builder oder andere betroffene Erweiterungen installiert sind, kontrollieren die Joomla- und Erweiterungsversionen, installieren notwendige Sicherheitsupdates und -patches, führen eine technische Prüfung auf mögliche Kompromittierung durch und bereinigen betroffene Websites. Wenn eine Migration oder ein Relaunch die sinnvollere Lösung ist, beraten wir dich auch dazu und setzen das gemeinsam mit dir um. Besteht bereits ein Wartungsvertrag mit uns, werden sicherheitsrelevante Updates ohnehin im vereinbarten Leistungsumfang berücksichtigt. Melde dich gerne über unsere Beratung, wenn du Unterstützung brauchst.
Häufige Fragen zur SP Page Builder Sicherheitslücke
Ist jede Joomla-Website automatisch betroffen?
Nein. Betroffen sind nur Websites, auf denen SP Page Builder in einer anfälligen Version installiert ist. Andere Erweiterungen können unabhängig davon eigene Sicherheitslücken haben.
Reicht ein Update auf Version 6.6.2?
Nein. Das schließt nur die im Juni bekannt gewordene Lücke. Die im Juli entdeckten Probleme wurden erst mit Version 6.7.1 behoben.
Ist meine Website nach dem Update automatisch wieder sicher?
Nicht zwingend, wenn zuvor bereits ein Angriff stattgefunden hat. In diesem Fall ist zusätzlich eine technische Sicherheitsprüfung notwendig, um eingeschleuste Schadsoftware oder versteckte Zugänge zu finden.
Kann ich das Update selbst durchführen?
Mit Joomla-Erfahrung, einem vollständigen Backup und einer realistischen Einschätzung möglicher Kompatibilitätsprobleme ist das machbar. Bei älteren oder geschäftskritischen Websites empfiehlt sich aber Unterstützung durch erfahrene Ansprechpartner.
Ist Joomla grundsätzlich unsicher?
Nein. Die Risiken entstehen meist durch veraltete Versionen von CMS oder Erweiterungen. Regelmäßige Updates, geprüfte Backups und technische Kontrollen senken das Angriffsrisiko deutlich.