⚠️ SP Page Builder – Vier Sicherheitslücken in wenigen Wochen
– Von Zero-Day-RCE bis SQL-Injection: com_sppagebuilder in der Sicherheitskrise, aktuelle sichere Version: 6.9.1:
Kein Joomla-Page-Builder hat in diesem Sommer öfter Schlagzeilen gemacht als der SP Page Builder von JoomShaper. Zwischen Juni und September 2026 wurden mehrere unabhängige Schwachstellen entdeckt und gepatcht – darunter zwei Pre-Authentication Remote Code Executions. Viele der Lücken wurden vom Sicherheitsforscher-Team bei mySites.guru selbst gefunden und verantwortungsvoll gemeldet.
Die Sicherheitsprobleme chronologisch:
- SP Page Builder bis 6.6.1 – Zero-Day-RCE (Juni 2026): Die Funktion
asset.uploadCustomIconprüfte weder Login noch Dateityp. Beliebige PHP-Dateien konnten ohne Benutzerkonto auf den Server hochgeladen werden. Die Lücke wurde aktiv zur Anlage versteckter Super-User-Konten ausgenutzt. Gepatcht in 6.6.2 - SP Page Builder bis 6.7.0 – SQL-Injection & Open Mail Relay: mySites.guru meldete vier weitere Schwachstellen: eine SQL-Injection auf Author-Ebene sowie einen unauthentifizierten Open Mail Relay. Eine fünfte Lücke blieb in 6.7.1 bestehen und wurde erst in 6.8.0 geschlossen
- SP Page Builder bis 6.9.0 – SQL-Injection & Captcha-Bypass: Erneut von mySites.guru entdeckt: Author-Level-SQL-Injection sowie ein unauthentifizierter Captcha-Bypass, der das Formularschutz-System komplett aushebelte. Gepatcht in 6.9.1
- SP Page Builder – neue Pre-Auth-RCE: In demselben Release, das frühere Meldungen schließen sollte, wurde eine weitere unauthentifizierte Remote Code Execution gefunden. Notfall-Patch ist verfügbar
Patchstand (Stand: September 2026):
| Version | Status |
|---|---|
| SP Page Builder 6.6.1 und älter | ❌ Zero-Day-RCE – sofort updaten! |
| SP Page Builder 6.6.2 bis 6.8.x | ⚠️ Weitere Lücken enthalten – nicht ausreichend |
| SP Page Builder 6.9.1 | ✅ Aktuell – empfohlen |
Achtung bei bereits kompromittierten Websites: Das Einspielen des Updates schließt nur die Einstiegspunkte. Bereits platzierte Backdoors und angelegte Administrator-Konten bleiben aktiv. Verdächtige Hinweise: fremde .php-Dateien in /images/, /media/ oder Font-Unterverzeichnissen, sowie Super-User mit E-Mail-Adressen auf @secure.local. Das bloße Deaktivieren der Komponente schützt nicht.
