Sächsische Datenschutz- und Transparenzbeauftragte melden gehackte CMS-Webhosting-Instanzen in Sachsen; unbefugter Zugriff auf personenbezogene Daten möglich
Sicherheitslücken in weit verbreiteten CMS: Updates zeitnah einspielen - Sächsische Datenschutz- und Transparenzbeauftragte - sachsen.de
Sicherheitslücken in weit verbreiteten CMS: Updates zeitnah einspielen
Für Juli und August verzeichnet die Sächsische Datenschutz- und Transparenzbeauftragte mehr Datenpannen-Meldungen zu gehackten Webhosting-Instanzen, die mit Content-Management-Systemen (CMS) betrieben werden. Betroffen sind unter anderem CMS wie WordPress und Joomla.
Für WordPress wurden in diesem Zeitraum unter anderem die kritischen Sicherheitslücken CVE-2026-60137 und CVE-2026-63030 bekannt. Auch Joomla war von einer kritischen Schwachstelle ( CVE-2026-48907 ) betroffen. Die Sicherheitslücken wurden nach ihrem Bekanntwerden zeitnah auch durch automatisierte Angriffe ausgenutzt. Zu den betroffenen Webseiten zählten unter anderem Angebote von Schulen, Vereinen sowie kleinen und mittleren Unternehmen.
Infolge der Angriffe kann es zu einem unbefugten Zugriff auf personenbezogene Daten kommen. Je nach den Umständen des Einzelfalls können daraus Pflichten nach Artikel 33 und 34 Datenschutz-Grundverordnung entstehen. Darüber hinaus sind mit der Aufklärung des Vorfalls, der Wiederherstellung der Systeme und der Umsetzung zusätzlicher Schutzmaßnahmen regelmäßig erhebliche Aufwände für die betroffenen Institutionen verbunden.
Webseitenbetreiberinnen und Webseitenbetreiber sollten insbesondere bei vernetzten digitalen Systemen auf einen funktionierenden Patch- und Update-Zyklus achten. Sicherheitsupdates sollten nach ihrer Veröffentlichung zeitnah geprüft und eingespielt werden. Bereits ein Update-Verzug von wenigen Tagen kann insbesondere bei öffentlich erreichbaren Systemen zu erheblichen Sicherheitsrisiken und Schäden führen.
Für die genannten Sicherheitslücken in WordPress und Joomla stehen bereits Sicherheitsupdates zur Verfügung. Betreiberinnen und Betreiber entsprechender Webseiten sollten daher prüfen, ob ihre Systeme und eingesetzten Erweiterungen auf dem aktuellen Sicherheitsstand sind.
Bundesamt für Sicherheit in der Informationstechnik (BSI): Cybersicherheitswarnung zu WordPress
Cybersicherheit Baden-Württemberg: Kritische Sicherheitslücke im Joomla Content Editor
Wenn Sie den RSS-Feed der Sächsischen Datenschutz- und Transparenzbeauftragten abonnieren, bleiben Sie immer auf dem Laufenden und erhalten die aktuellsten Meldungen. Geben Sie dazu nachfolgenden Link in Ihren RSS-Reader ein.
RSS – Was ist das?