Kurzfassung
Die Joomla-Erweiterung OrdaSoft Joomla Gallery weist gleich drei kritische Schwachstellen auf: CVE-2026-88854 erlaubt eine SQL-Injection ohne Anmeldung, CVE-2026-88856 und CVE-2026-88857 ermöglichen Remotecodeausführung mit erhöhten Rechten. Besonders brisant ist, dass zwei der Lücken mit CVSS 9.4, kritisch bewertet sind. Betroffen ist OrdaSoft Joomla Gallery in Versionen vor 6.2.7.
Was ist passiert?
Für die Joomla-Erweiterung OrdaSoft Joomla Gallery sind drei zusammenhängende Sicherheitslücken bekannt geworden. Sie betreffen sowohl den öffentlichen Zugriff auf Suchfunktionen als auch administrative Funktionen innerhalb der Erweiterung.
CVE-2026-88854 beschreibt eine SQL-Injection in einer öffentlich erreichbaren Suchfunktion. Laut NVD kann ein nicht angemeldeter Besucher manipulierte Eingaben einschleusen und so beliebige Inhalte aus der Datenbank auslesen.
CVE-2026-88856 und CVE-2026-88857 betreffen dagegen privilegierte, authentisierte Angreifer. In beiden Fällen geht es um Remotecodeausführung: Einmal über den Aufruf frei wählbarer PHP-Funktionen, einmal über den Upload einer ausführbaren Datei in ein per Web erreichbares Verzeichnis.
Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn Joomla noch für öffentliche Websites, Intranets, Vereinsportale, Bildungseinrichtungen oder Kundenportale genutzt wird und dort OrdaSoft Joomla Gallery installiert ist. Die Kombination aus anonymer Datenbankabfrage und möglicher Codeausführung nach Kontoübernahme oder Missbrauch administrativer Rechte macht den Fall operativ deutlich ernster als eine isolierte Einzel-Lücke.
Technische Details
CVE-2026-88854 betrifft eine unsaubere Verarbeitung von Eingaben in der Suchfunktion von OrdaSoft Joomla Gallery. Der beschriebene Ablauf führt dazu, dass Eingaben in einer SQL-LIKE-Abfrage ohne ausreichende Bereinigung oder sichere Parameterbindung verarbeitet werden. Dadurch kann ein externer Angreifer ohne Anmeldung eigene SQL-Bestandteile einschleusen und Daten aus der Joomla-Datenbank auslesen.
CVE-2026-88856 betrifft die Funktion updateOSGallery() über den Aufruf task=update_osgallery. Nach den veröffentlichten technischen Angaben wird ein JSON-Request verarbeitet, dessen Feld für den Methodennamen direkt als PHP-Funktion aufgerufen wird. Eine Whitelist oder wirksame Prüfung fehlt. Damit können privilegierte Benutzer Funktionen wie system, exec, shell_exec oder passthru anstoßen und eigenen Code beziehungsweise Befehle ausführen.
CVE-2026-88857 steckt in der Funktion saveWatermark(). Dort wird eine hochgeladene Datei mit dem vom Client übermittelten Dateinamen in ein über das Web erreichbares Verzeichnis kopiert. Eine Prüfung der Dateiendung, des tatsächlichen Inhalts oder eine Bereinigung des Dateinamens findet laut NVD nicht statt. Ein Benutzer mit passenden Rechten kann dadurch etwa eine PHP-Datei als vermeintliches Bild hochladen und anschließend direkt aufrufen.
Für CVE-2026-88856 und CVE-2026-88857 nennt NVD jeweils CVSS 9.4, kritisch. Der Vektor bedeutet: Angriff über das Netzwerk, geringe Angriffskomplexität, keine Nutzerinteraktion, aber hohe Berechtigungen sind erforderlich. Dieser Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits bestätigte Ausnutzung in freier Wildbahn.
Daneben ist auch CVE-2026-88854 kritisch eingestuft, mit einem NVD-Basiswert von 9.3 nach CVSS 4.0. Hier fällt besonders ins Gewicht, dass keinerlei Anmeldung erforderlich ist.
Wer ist betroffen?
Betroffen ist OrdaSoft Joomla Gallery für Joomla in Versionen vor 6.2.7. Wer diese Erweiterung auf öffentlich erreichbaren Joomla-Systemen einsetzt, sollte von einem akuten Prüfbedarf ausgehen.
Besonders kritisch ist die Lage für Betreiber, die das Suchmodul öffentlich eingebunden haben. In diesem Fall kann CVE-2026-88854 ohne gültiges Benutzerkonto ausgenutzt werden. Bei CVE-2026-88856 und CVE-2026-88857 ist zwar ein bereits vorhandenes, privilegiertes Konto nötig, in der Praxis kann das nach Passwortdiebstahl, schwacher Rollenvergabe oder Mehrfachnutzung von Zugangsdaten schnell relevant werden.
Nicht betroffen sind Joomla-Installationen ohne diese Erweiterung. Wer OrdaSoft Joomla Gallery zwar installiert, aber nicht aktiv verwendet, sollte trotzdem prüfen, ob die Komponente noch erreichbar ist und ob Funktionen oder Dateien der Erweiterung auf dem System vorhanden bleiben.
Empfohlene Maßnahmen
Erstens: Prüfen Sie umgehend, ob OrdaSoft Joomla Gallery installiert ist, und gleichen Sie die Version ab. Liegt eine Version unter 6.2.7 vor, sollten Sie die Erweiterung mit höchster Priorität aktualisieren oder bis zur sicheren Klärung deaktivieren.
Zweitens: Kontrollieren Sie Webserver- und Anwendungsprotokolle auf verdächtige Zugriffe. Achten Sie besonders auf Anfragen an Suchfunktionen, auffällige UNION-SELECT-Muster, Zugriffe auf task=update_osgallery sowie Uploads und Aufrufe von Dateien in öffentlich erreichbaren Verzeichnissen.
Drittens: Überprüfen Sie privilegierte Joomla-Konten. Entfernen Sie nicht mehr benötigte Rechte, erzwingen Sie Passwortwechsel für Administratoren und Redakteure mit erweiterten Rechten und prüfen Sie, ob Konten mit core.manage unnötig breit vergeben wurden.
Viertens: Suchen Sie nach möglichen Kompromittierungsindikatoren. Dazu gehören unbekannte PHP-Dateien in Upload- oder Medienverzeichnissen, neue Admin-Konten, manipulierte Cronjobs, Webshells und unerwartete Änderungen an Templates oder Konfigurationsdateien.
Fünftens: Falls ein Angriff nicht ausgeschlossen werden kann, behandeln Sie das System als potenziell kompromittiert. Dann reicht ein bloßes Update nicht aus. In diesem Fall sollten Sie forensisch sichern, Zugangsdaten rotieren, das System aus vertrauenswürdigen Quellen neu aufsetzen und Backups auf Schadcode prüfen.
Für viele Unternehmen ist zusätzlich sinnvoll, den Datenbankzugriff der Webanwendung auf das notwendige Minimum zu beschränken und die Ausführung von PHP in Upload-Verzeichnissen serverseitig zu unterbinden. Das hätte insbesondere CVE-2026-88857 deutlich erschwert.
Einschätzung von CyberSecurity-News.de
Der Fall ist relevant, weil hier drei Schwachstellen in einer einzelnen Joomla-Erweiterung zusammenkommen, die typische Angriffspfade abdecken: erst Informationsabfluss ohne Login, dann vollständige Systemübernahme mit privilegiertem Konto. Das ist kein exotisches Laborproblem, sondern ein realistisches Risiko für schlecht gepflegte CMS-Installationen.
Die Informationslage ist allerdings unvollständig. NVD nennt die betroffenen Versionen für die beiden RCE-Lücken als kleiner 6.2.7. Ob derselbe Versionsstand auch für CVE-2026-88854 gilt, wird dort nicht in gleicher Klarheit ausformuliert. Ebenso liegt hier kein ausdrücklich genannter Herstellerhinweis mit Patch-Anleitung oder Workarounds vor. Für Administratoren bedeutet das: nicht auf Detailperfektion warten, sondern Installation und Logs sofort prüfen.
Für die Priorisierung gilt: CVE-2026-88854 ist im Alltag oft der gefährlichste Einstieg, weil sie keine Anmeldung voraussetzt. Die beiden mit CVSS 9.4 bewerteten RCE-Lücken sind technisch noch gravierender, setzen aber bereits hohe Rechte voraus. In Umgebungen mit vielen Administratoren, externen Dienstleistern oder gemeinsam genutzten Konten steigt ihr Risiko deutlich an.
Fazit
Wer OrdaSoft Joomla Gallery einsetzt, sollte die Erweiterung sofort identifizieren, Versionen prüfen und Systeme unterhalb von 6.2.7 ohne Verzögerung aus dem Risiko nehmen. Zusätzlich reicht ein Update allein nicht, wenn es Anzeichen für Missbrauch gibt: Dann sind Logprüfung, Rechteminimierung und eine kompromissorientierte Untersuchung Pflicht.
