Am 29. September 2026 hat das Joomla-Projekt mit Joomla 6.1.4 und Joomla 5.4.9 zwei wichtige Security- und Bugfix-Releases veröffentlicht. Die Aktualisierungen schließen insgesamt 16 Sicherheitslücken im Joomla-Core und enthalten darüber hinaus zahlreiche Fehlerkorrekturen und Verbesserungen. Betreiber von Joomla‑Websites sollten das Update deshalb zeitnah einspielen und zuvor wie gewohnt ein vollständiges Backup ihrer Installation erstellen.
Die neuen Joomla-Versionen betreffen sowohl die aktuelle Joomla-6-Reihe als auch Joomla 5.4. Neben mehreren Cross-Site-Scripting-Schwachstellen wurden unter anderem Fehler bei Zugriffskontrollen, ein möglicher MFA-Bypass, SSRF-Angriffsvektoren und eine als hoch eingestufte Schwachstelle beim Löschen von Cache-Verzeichnissen behoben. Das Joomla Security Strike Team empfiehlt für betroffene Installationen ausdrücklich das Upgrade auf Joomla 6.1.4 beziehungsweise Joomla 5.4.9.
Das Joomla-Projekt hat die beiden neuen Versionen am 29. September 2026 offiziell bereitgestellt. Joomla 6.1.4 und Joomla 5.4.9 sind ausdrücklich als Security- & Bugfix-Releases gekennzeichnet. Sie dienen damit nicht in erster Linie dazu, neue Funktionen einzuführen, sondern bestehende Installationen sicherer und stabiler zu machen.
Für professionell betriebene Joomla Websites sind solche Releases besonders wichtig. Sicherheitskorrekturen sollten nicht unnötig aufgeschoben werden, da mit Veröffentlichung der Sicherheitsmeldungen auch Details zu den geschlossenen Schwachstellen öffentlich bekannt sind.
Wer Joomla 6 einsetzt, sollte auf 6.1.4 aktualisieren. Betreiber einer Joomla-5.4-Website erhalten mit 5.4.9 die entsprechenden Korrekturen für diese Versionslinie.
Das aktuelle Release ist besonders umfangreich: Joomla listet insgesamt 16 Security Fixes auf. Die Schwachstellen betreffen unterschiedliche Bereiche des CMS und reichen von Cross-Site-Scripting über fehlerhafte Zugriffskontrollen bis hin zu Server-Side Request Forgery und einem möglichen Umgehen der Mehrfaktor-Authentifizierung.
Die Sicherheitskorrekturen lassen sich grob in folgende Bereiche einteilen:
Damit handelt es sich nicht um ein gewöhnliches kleines Wartungsupdate. Auch wenn nicht jede der Schwachstellen mit derselben Risikostufe bewertet wird, enthält das Release mehrere sicherheitsrelevante Korrekturen mit hoher Auswirkung.
Besonders hervorzuheben sind zwei Schwachstellen, die vom Joomla Security Centre mit Severity: High bewertet wurden.
Eine Schwachstelle in der Cache-Purge-Funktion ermöglichte aufgrund einer unzureichenden Validierung des Cache-Gruppennamens eine Path-Traversal-Situation. Dadurch konnte es unter bestimmten Voraussetzungen zum Löschen beliebiger Verzeichnisse kommen.
Das Joomla Security Centre bewertet sowohl die Auswirkung als auch die Severity mit „High“. Betroffen sind Joomla-Versionen bis einschließlich 5.4.8 beziehungsweise 6.1.3. Die Lösung besteht im Update auf Joomla 5.4.9 oder 6.1.4.
Ebenfalls als hoch eingestuft wurde eine Server-Side-Request-Forgery-Schwachstelle, kurz SSRF. URLs, die für serverseitige Anfragen verwendet wurden, wurden nicht ausreichend validiert. Dadurch entstanden Angriffsmöglichkeiten über verschiedene Joomla-Core-Erweiterungen.
Auch hier nennt das Joomla Security Centre Joomla 5.4.9 beziehungsweise Joomla 6.1.4 als korrigierte Versionen.
Ein erheblicher Teil der Sicherheitskorrekturen betrifft Cross-Site-Scripting, kurz XSS. Insgesamt nennt das Release sieben entsprechende Schwachstellen beziehungsweise XSS-Filter-Umgehungen.
Betroffen waren unter anderem:
HTMLHelper::link-MethodeBeim HTMLHelper fehlte etwa eine ausreichende Ausgabe-Bereinigung, wodurch XSS möglich war. Eine weitere Schwachstelle entstand dadurch, dass der Joomla-Inputfilter bestimmte HTML5-Entities nicht vor der Prüfung auf das javascript:-Schema dekodierte.
Eine zusätzliche InputFilter-Schwachstelle ermöglichte es, die Bereinigung von HTML-Data-URIs mithilfe bestimmter Leerzeichen zu umgehen. Auch diese Lücke wurde mit den aktuellen Versionen geschlossen.
Joomla besitzt ein sehr umfangreiches ACL-System zur Steuerung von Benutzerrechten. Gerade deshalb sind korrekte Berechtigungsprüfungen an allen Schnittstellen wichtig.
Joomla 6.1.4 und 5.4.9 korrigieren mehrere Fälle, in denen Zugriffsprüfungen nicht ausreichend umgesetzt waren. Betroffen waren unter anderem:
Eine der Schwachstellen konnte unter anderem unberechtigten Benutzern ermöglichen, Änderungen über bestimmte Webservice-Endpunkte vorzunehmen. Eine weitere erlaubte das Anzeigen von Inhalten aus eigentlich nicht zugänglichen Kategorien.
Auch der Workflow wurde korrigiert: Eine unzureichende Berechtigungsprüfung konnte es ermöglichen, den Workflow-Status von Inhalten zu verändern, auf die ein Benutzer eigentlich keinen entsprechenden Zugriff besitzt.
Eine weitere Schwachstelle betraf den Controller profile.save. Dieser überprüfte den Log-in-Status eines Benutzers nicht korrekt.
Dadurch konnten auf Websites ohne aktivierte Benutzerregistrierung dennoch Benutzerkonten mit Gast-Berechtigungen erzeugt werden. Das Joomla Security Centre bewertet die Schwachstelle sowohl bei Auswirkung als auch bei Severity als moderat.
Auch wenn dabei zunächst nur ein Konto mit niedriger Berechtigungsstufe erstellt werden konnte, sollte eine unerlaubte Benutzererstellung auf einer Website selbstverständlich nicht möglich sein.
Besonders relevant ist außerdem eine Korrektur im Bereich der Mehrfaktor-Authentifizierung. Unter bestimmten Umständen wurde ein Remember-Me-Cookie zu früh ausgestellt. Dadurch konnte die MFA-Prüfung umgangen werden.
Das Joomla Security Centre bewertet die Auswirkung mit „High“, die Severity insgesamt mit „Moderate“. Betroffen sind Joomla-Versionen von 4.0.0 bis 5.4.8 sowie Joomla 6.0.0 bis 6.1.3.
Die Schwachstelle zeigt gleichzeitig, warum Mehrfaktor-Authentifizierung zwar eine wichtige zusätzliche Schutzebene darstellt, aber selbst Teil eines komplexen Authentifizierungsprozesses ist, der regelmäßig geprüft und aktualisiert werden muss.
Bei einer Server-Side Request Forgery wird ein Server dazu gebracht, eine vom Angreifer beeinflusste Anfrage an eine andere Adresse auszuführen.
Das kann besonders problematisch sein, wenn dadurch interne Dienste oder Ressourcen erreichbar werden, die von außen normalerweise nicht direkt angesprochen werden können.
Im Joomla‑Core wurden serverseitig verwendete URLs in verschiedenen Erweiterungen nicht ausreichend validiert. Die aktuelle Version korrigiert diese Prüfung. Die entsprechende Sicherheitsmeldung trägt die Kennung CVE-2026-92222.
Neben den 16 Sicherheitskorrekturen bringt das Release eine umfangreiche Liste an Bugfixes und Verbesserungen mit. Die Fehlerkorrekturen aus Joomla 5.4.9 wurden dabei auch in Joomla 6.1.4 übernommen.
Zu den Änderungen gehören unter anderem:
Eine interessante SEO-relevante Korrektur betrifft insbesondere Schema.org: Joomla stellt nun sicher, dass für Logo-Bilder in JSON-LD absolute URLs ausgegeben werden.
Auch die Barrierefreiheit wurde weiter verbessert. Unter anderem enthält das Release eine Korrektur für die Tastaturnavigation im Joomla-Kalender.
Aufgrund der zahlreichen Sicherheitskorrekturen empfehlen wir, produktive Joomla‑Websites zeitnah auf Joomla 6.1.4 beziehungsweise Joomla 5.4.9 zu aktualisieren.
Vor jedem Update sollte ein vollständiges Backup der Website einschließlich Dateien und Datenbank vorhanden sein. Bei umfangreicheren Installationen ist es außerdem sinnvoll, die Aktualisierung zunächst auf einer Kopie beziehungsweise Staging-Umgebung durchzuführen.
Nach dem Update sollten insbesondere folgende Bereiche kontrolliert werden:
Das Joomla Projekt empfiehlt beim Wechsel von Joomla 5.4 auf Joomla 6 ebenfalls ausdrücklich, das Upgrade zunächst auf einer Kopie der produktiven Website zu testen.
Einige der veröffentlichten Sicherheitsmeldungen nennen sehr alte Joomla-Generationen als betroffen. Beispielsweise reichen einzelne XSS-Schwachstellen laut Joomla Security Centre bis zu Joomla 1.5 zurück.
Das bedeutet allerdings nicht, dass solche alten Joomla-Versionen noch regulär unterstützt werden. Wer weiterhin Joomla 3, Joomla 4 oder noch ältere Generationen produktiv betreibt, sollte die Installation nicht lediglich wegen dieser einzelnen Sicherheitsmeldung betrachten, sondern grundsätzlich eine Migration auf eine unterstützte Joomla-Version planen.
Für aktuelle Websites sind Joomla 5.4 beziehungsweise Joomla 6 die relevanten unterstützten Versionslinien.
Joomla 5.4 bleibt für Betreiber bestehender Websites weiterhin relevant. Nach Angaben des Joomla-Projekts erhält die 5.4-Reihe noch Bugfix-Unterstützung bis zum 13. Oktober 2026. Sicherheitsupdates sind anschließend noch bis zum 12. Oktober 2027 vorgesehen.
Ein sofortiger Wechsel auf Joomla 6 ist daher nicht zwingend erforderlich, wenn Erweiterungen oder individuelle Funktionen noch nicht vollständig für Joomla 6 vorbereitet sind.
Dennoch sollte die weitere Entwicklung geplant werden. Joomla 5.4 ist die Übergangslinie in Richtung Joomla 6 und damit keine Plattform, auf der neue Webprojekte langfristig verbleiben sollten.
Der Wechsel von Joomla 5.4 auf Joomla 6 unterscheidet sich deutlich von früheren großen Joomla-Migrationen.
Das Joomla-Projekt bezeichnet diesen Schritt ausdrücklich als Upgrade und nicht als Migration. Aktuelle Joomla-5-Erweiterungen, die bereits moderne Joomla‑APIs verwenden und veralteten Code entfernt haben, können grundsätzlich auch unter Joomla 6 funktionieren. Für weitere Erweiterungen steht das Behaviour-6-Backward-Compatibility-Plug-in zur Verfügung.
Trotzdem sollte vor dem Upgrade geprüft werden, ob:
Eine vorherige Testinstallation bleibt auch bei einem vergleichsweise komfortablen Upgrade der sicherste Weg.
Unsere Webdesign-Agentur aus Hannover arbeitet seit mehr als 20 Jahren mit Joomla und verfügt über Erfahrungen aus mehr als 500 Joomla-Websites – von Joomla 1.5 über Joomla 2.5, Joomla 3, Joomla 4 und Joomla 5 bis zur aktuellen Joomla-6-Generation.
Gerade Security-Releases wie Joomla 6.1.4 zeigen, warum eine Joomla-Website nach ihrer Erstellung dauerhaft administriert werden sollte. Sicherheitslücken entstehen nicht ausschließlich in Erweiterungen. Auch ein umfangreicher und aktiv entwickelter CMS-Core benötigt regelmäßige Sicherheitsupdates.
Bei unseren Kunden mit aktivem Administrationsvertrag übernehmen wir Joomla-Updates innerhalb der betreuten Versionslinie im Rahmen der laufenden Administration. Dadurch müssen sich unsere Kunden nicht selbst mit jedem einzelnen Security- und Bugfix-Release beschäftigen.
Vor Aktualisierungen berücksichtigen wir dabei nicht nur Joomla selbst, sondern auch das Zusammenspiel mit eingesetzten Erweiterungen, Templates und der jeweiligen Serverumgebung.
Dass ein CMS Sicherheitsupdates erhält, ist kein Zeichen für eine grundsätzlich unsichere Plattform. Entscheidend ist vielmehr, wie ein Projekt mit gefundenen Schwachstellen umgeht.
Joomla verfügt mit dem Joomla Security Strike Team über einen organisierten Prozess zur Meldung, Prüfung und Behebung sicherheitsrelevanter Probleme. Die Schwachstellen des aktuellen Releases wurden dokumentiert und entsprechende CVE-Kennungen veröffentlicht.
Für Website-Betreiber folgt daraus eine klare Konsequenz: Updates gehören zum normalen Betrieb eines Content-Management-Systems.
Beide Versionen wurden am 29. September 2026 als Security- und Bugfix-Releases veröffentlicht.
Das Joomla Projekt nennt insgesamt 16 Sicherheitskorrekturen für Joomla 6.1.4 und Joomla 5.4.9.
Ja. Zwei veröffentlichte Sicherheitsmeldungen werden vom Joomla Security Centre mit der Severity „High“ bewertet: eine Path-Traversal-Schwachstelle bei der Cache-Bereinigung und SSRF-Angriffsvektoren in verschiedenen Core-Erweiterungen.
Eine der korrigierten Schwachstellen ermöglichte unter bestimmten Voraussetzungen einen MFA-Bypass über ein zu früh ausgestelltes Remember-Me-Cookie. Joomla 5.4.9 und 6.1.4 schließen diese Lücke.
Aufgrund der zahlreichen Sicherheitskorrekturen sollte das Update zeitnah installiert werden. Wie bei jedem Core-Update empfehlen wir zuvor ein vollständiges Backup und bei komplexen Websites einen Test auf einer Kopie der produktiven Installation.
Nein. Joomla 5.4 erhält nach Angaben des Joomla-Projekts Sicherheitsunterstützung bis zum 12. Oktober 2027. Betreiber sollten jedoch die spätere Umstellung auf Joomla 6 vorbereiten.
Nein. Das Joomla-Projekt bezeichnet den Wechsel ausdrücklich als Upgrade. Voraussetzung für einen problemlosen Wechsel ist dennoch, dass Template und eingesetzte Erweiterungen mit Joomla 6 kompatibel sind.
Nach der Aktualisierung sollten Frontend, Backend, Benutzeranmeldung, Formulare, Media Manager, Templates, Overrides sowie wichtige Erweiterungen kurz funktional überprüft werden.
Sie betreiben eine Joomla Website und möchten Sicherheitsupdates, Core-Aktualisierungen und Erweiterungen professionell betreuen lassen? Unsere Webdesign-Agentur aus Hannover unterstützt Unternehmen, Vereine und Organisationen bei der laufenden Joomla-Administration, bei Migrationen und bei der technischen Modernisierung bestehender Websites.
Joomla-Administration und -Pflege | Joomla-Migration | Joomla-Webdesign