Liebe Leser,<\/p>\n
am 29. Juni 2026 hat JoomShaper eine neue Version des Joomla-Template-Frameworks Helix3 ver\u00f6ffentlicht. Auf den ersten Blick handelt es sich dabei um ein regul\u00e4res Update, tats\u00e4chlich wurde jedoch eine schwerwiegende Sicherheitsl\u00fccke geschlossen, die f\u00fcr Betreiber betroffener Websites ein erhebliches Risiko darstellt.<\/p>\n
Mit der Version 3.1.1 von Helix3 wurde eine kritische Schwachstelle beseitigt, die es Angreifern erm\u00f6glicht h\u00e4tte, ohne Anmeldung oder jegliche Berechtigung auf zentrale Funktionen einer Website zuzugreifen. Besonders brisant ist dabei, dass keinerlei Login erforderlich war und die betroffenen Funktionen \u00fcber eine einfache Anfrage von au\u00dfen ausgel\u00f6st werden konnten.<\/p>\n
Im schlimmsten Fall h\u00e4tte dies dazu gef\u00fchrt, dass Angreifer Dateien auf dem Server erstellen oder \u00fcberschreiben, bestehende Dateien l\u00f6schen oder grundlegende Template-Einstellungen ver\u00e4ndern konnten. Damit w\u00e4re nicht nur das Erscheinungsbild einer Website betroffen gewesen, sondern unter Umst\u00e4nden auch deren Funktionsf\u00e4higkeit und Integrit\u00e4t.<\/p>\n
Wichtig ist zun\u00e4chst die Unterscheidung zwischen den verschiedenen Produkten von JoomShaper. Betroffen ist ausschlie\u00dflich das klassische Helix3 Framework, das aus einem System-Plugin und einem zus\u00e4tzlichen AJAX-Plugin besteht. Genau diese Komponenten enthalten die Schwachstelle, die nun mit Version 3.1.1 behoben wurde.<\/p>\n
Nicht betroffen ist hingegen Helix Ultimate, das ein eigenst\u00e4ndiges und moderneres Template-System darstellt. Wenn Sie Helix Ultimate einsetzen, besteht im Zusammenhang mit dieser Sicherheitsl\u00fccke kein Handlungsbedarf. Problematisch ist die Situation ausschlie\u00dflich bei Installationen, die noch auf Helix3 basieren, unabh\u00e4ngig davon, ob diese auf \u00e4lteren oder aktuellen Joomla-Versionen laufen.<\/p>\n
Die Ursache der Schwachstelle liegt in der Art und Weise, wie Joomla bestimmte externe Aufrufe verarbeitet. \u00dcber einen zentralen Mechanismus k\u00f6nnen sogenannte AJAX-Funktionen von Erweiterungen auch ohne Anmeldung angesprochen werden. Die Verantwortung, diese Zugriffe abzusichern, liegt dabei vollst\u00e4ndig bei der jeweiligen Erweiterung selbst.<\/p>\n
Im Fall von Helix3 wurden mehrere dieser Funktionen ausgef\u00fchrt, bevor \u00fcberhaupt \u00fcberpr\u00fcft wurde, ob der Aufruf durch einen berechtigten Benutzer erfolgt. Dadurch konnte ein Angreifer gezielt Funktionen ausl\u00f6sen, die eigentlich nur im gesch\u00fctzten Bereich einer Website verf\u00fcgbar sein sollten.<\/p>\n
Die Sicherheitsl\u00fccke erm\u00f6glichte unter anderem das unkontrollierte Schreiben von Dateien innerhalb des Template-Bereichs. Zwar war das Dateiformat teilweise eingeschr\u00e4nkt, jedoch war die Absicherung der Dateipfade unzureichend, sodass unter Umst\u00e4nden auch au\u00dferhalb des vorgesehenen Verzeichnisses geschrieben werden konnte.<\/p>\n
Ebenso kritisch war die M\u00f6glichkeit, Dateien auf dem Server ohne Einschr\u00e4nkungen zu l\u00f6schen. Dadurch konnte eine Website im schlimmsten Fall teilweise oder vollst\u00e4ndig funktionsunf\u00e4hig gemacht werden. Zus\u00e4tzlich bestand die Gefahr, dass gespeicherte Template-Konfigurationen in der Datenbank manipuliert werden, was zu unerwarteten \u00c4nderungen am Design oder Verhalten der Website f\u00fchren konnte.<\/p>\n
Da mehrere weitere Funktionen ebenfalls ohne ausreichende Zugriffskontrolle erreichbar waren, ergibt sich insgesamt ein sehr ernstzunehmendes Sicherheitsrisiko, das in der Praxis nicht untersch\u00e4tzt werden sollte.<\/p>\n
Besonders problematisch an dieser Schwachstelle ist, dass sie theoretisch bereits vor dem Update ausgenutzt worden sein k\u00f6nnte, ohne dass dies sofort sichtbar wird. Eine kompromittierte Website zeigt nicht zwangsl\u00e4ufig offensichtliche Symptome. Daher reicht es nicht aus, lediglich das Update einzuspielen, ohne die Installation zus\u00e4tzlich zu \u00fcberpr\u00fcfen.<\/p>\n
Es besteht insbesondere die M\u00f6glichkeit, dass unbefugt Dateien erstellt oder gel\u00f6scht wurden oder dass sich die Konfiguration des Templates ver\u00e4ndert hat. Auch kleine, zun\u00e4chst unauff\u00e4llige \u00c4nderungen k\u00f6nnen ein Hinweis auf einen fr\u00fcheren Angriff sein.<\/p>\n
Wenn Sie eine Website betreiben, die Helix3 verwendet, sollten Sie das Update auf Version 3.1.1 umgehend einspielen. Es wird \u00fcber den regul\u00e4ren Joomla-Updateprozess bereitgestellt und schlie\u00dft die bekannte Sicherheitsl\u00fccke vollst\u00e4ndig.<\/p>\n
Dabei ist es wichtig, sicherzustellen, dass es sich tats\u00e4chlich um Helix3 handelt und nicht um Helix Ultimate, da nur das \u00e4ltere Framework betroffen ist. Nach der Aktualisierung empfiehlt es sich au\u00dferdem, die Website sorgf\u00e4ltig auf m\u00f6gliche Ver\u00e4nderungen oder Auff\u00e4lligkeiten zu pr\u00fcfen, insbesondere im Bereich der Template-Dateien und der gespeicherten Einstellungen.<\/p>\n