Am 3. Juni 2026 veröffentlichte der JCE-Entwickler die Versionen JCE Pro 2.9.99.5 sowie das passende JCE Free 2.9.99.5. Im Changelog findet sich ein einzelner Sicherheitshinweis – und es ist genau die Art, bei der man noch am selben Tag handeln sollte: Unzureichende Zugriffskontrollen ermöglichten es nicht authentifizierten Benutzern, Editor-Profile hochzuladen. Laut Entwickler konnte diese Schwachstelle ausgenutzt werden, um beliebige Dateien auf den Server zu laden – ein klassischer „arbitrary file upload“, der Angreifern im schlimmsten Fall vollständige Kontrolle über die betroffene Website verschaffen kann.

Am Montag, dem 8. Juni, folgte Version 2.9.99.6, die zusätzlich eine Härtungsfunktion bot. JCE Pro 2.9.99.6 ist die empfohlene Version für alle Joomla!-Websites.

Es war bereits das zweite JCE-Sicherheitsupdate innerhalb einer Woche. Das Release 2.9.99.4 vom 28. Mai schloss zwei Sicherheitslücken, die beide eine aktive Anmeldesitzung voraussetzten. Die neue Lücke hingegen nicht. Genau dieser Unterschied – authentifiziert vs. nicht authentifiziert – ist der Grund, warum dieses Update nicht „irgendwann diese Woche“ eingespielt werden sollte, sondern sofort.

Die Sicherheitslücke wird schon aktiv ausgenutzt, funktionierender Exploit-Code ist öffentlich und die Angriffe sind automatisiert.

Was ist zu tun?

Aktualisiere JCE auf allen betreuten Joomla-Websites umgehend auf Version 2.9.99.6 – egal ob Free oder Pro.

Version 2.9.99.6 benötigt PHP 7.4 und Joomla 3.10 oder höher. Für Websites, die diese Voraussetzungen noch nicht erfüllen, steht ein kostenloses Patch-Paket zur Verfügung, das die Sicherheitslücke in JCE 2.7.x, 2.8.x und 2.9.x behebt.

Prüfe anschließend die Serververzeichnisse auf unbekannte oder verdächtige Dateien, insbesondere in Upload-Ordnern wie /images, /media oder anderen öffentlich zugänglichen Verzeichnissen wie /tmp. Wurde deine Website bereits vor dem Update kompromittiert, reicht ein simples Update allein nicht aus – der Schadcode muss vollständig entfernt werden.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine Joomla-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner Website schnell und zuverlässig wieder her.

Der Beitrag JCE-Editor-Sicherheitslücke: Sofortiger Handlungsbedarf für alle Joomla-Websites erschien zuerst auf Websicherheit Malware entfernen.

In diesem Beitrag erklären wir, was PHP macht, warum Sie auf PHP 8 upgraden sollten und wie wir Ihnen dabei helfen können.

Was ist PHP und was leistet es für WordPress?

PHP ist eine Programmiersprache, die die Kernfunktionen Ihrer WordPress-Website antreibt. Stellen Sie es sich wie den Motor unter der Motorhaube eines Autos vor. Auch wenn Sie es nicht bei der Arbeit sehen, kümmert sich PHP um alle Vorgänge im Hintergrund, die Ihre Website interaktiv und dynamisch machen.

Wann immer jemand Ihre WordPress-Website besucht, hilft PHP dabei, Informationen aus Ihrer Datenbank abzurufen (wie Blogbeiträge oder Produktdetails) und auf dem Bildschirm anzuzeigen. PHP übernimmt auch Aufgaben wie:

• Die Verarbeitung von Formularübermittlungen (wie ein Kontaktformular oder ein WooCommerce-Bestellformular)
• Die Verwaltung von WordPress-Benutzeranmeldungen und -Konten
• Die Kommunikation mit Ihrem Server, um Ihre Inhalte, Bilder und mehr zu laden

Ohne PHP könnte Ihre WordPress-Website nicht als interaktive Website funktionieren. Es ist eine der wichtigsten Komponenten, die WordPress-Websites dynamisch, benutzerfreundlich und skalierbar machen.

Warum wird PHP aktualisiert?

Wie jede Software erhält PHP regelmäßige Updates von der Arbeitsgruppe hinter PHP.

Diese Updates zielen vor allem ab auf:

1. Sicherheit: Jede neue PHP-Version bringt Sicherheitspatches mit sich, um Ihre Website vor Schwachstellen zu schützen. Die Verwendung der neuesten Version stellt sicher, dass Ihre WordPress-Website vor den neuesten Bedrohungen geschützt ist.
2. Leistung: Jedes neue Release von PHP 8 bringt Leistungsverbesserungen mit sich, die Ihrer Website helfen, schneller zu laden, die Serverlast zu reduzieren und mehr Traffic zu bewältigen, ohne langsamer zu werden. Dies ist besonders wichtig für WooCommerce-Websites oder Websites mit hohem Traffic, da schnellere Ladezeiten zu besseren Benutzererfahrungen und höheren Konversionsraten führen.
3. Fehlerbehebungen: Updates für PHP enthalten oft Korrekturen für Fehler, die in früheren Versionen gefunden wurden. Diese Fehlerbehebungen können unerwartete Fehler verhindern und sicherstellen, dass Ihre Website reibungslos und ohne Unterbrechungen läuft.
4. Kompatibilität: Viele WordPress-Themes und -Plugins werden mit Blick auf die neueste PHP-Version entwickelt und getestet. Die Verwendung einer veralteten PHP-Version kann dazu führen, dass diese Themes oder Plugins fehlerhaft arbeiten, kaputtgehen oder schlecht funktionieren, was zu einer negativen Benutzererfahrung führt.
5. Zukunftssicherheit: Während sich WordPress weiterentwickelt, entwickeln sich auch die Technologien, die es unterstützen. Ihre PHP-Version auf dem neuesten Stand zu halten, stellt sicher, dass Ihre Website mit zukünftigen Updates kompatibel bleibt und reduziert das Risiko, später größere Upgrades durchführen zu müssen.

Wie Sie Ihre PHP-Version überprüfen

Um herauszufinden, welche PHP-Version Ihre WordPress-Website verwendet:

1. Melden Sie sich in Ihrem WordPress-Admin-Dashboard an.
2. Navigieren Sie zu Werkzeuge > Website-Zustand und klicken Sie auf den Tab Bericht.
3. Unter dem Abschnitt Server sehen Sie Ihre aktuelle PHP-Version.

Wenn die Version niedriger als PHP 8.2 ist, ist es Zeit für ein Upgrade!

Was passiert, wenn Sie nicht upgraden?

Auf einer alten PHP-Version zu bleiben, wird wahrscheinlich nicht sofort dazu führen, dass Ihre Website ausfällt oder gehackt wird, aber sie wird dann zu einer tickenden Zeitbombe, die jeden Tag kompromittiert werden könnte und solche Probleme verursachen kann wie:

• Sicherheitsrisiken: Ältere Versionen sind anfälliger für Angriffe, und sobald sie das EOL erreichen, werden keine weiteren Sicherheitspatches mehr bereitgestellt.
• Langsamere Leistung: Ihre Website läuft möglicherweise langsamer, was zu einer schlechten Benutzererfahrung, höheren Absprungraten und möglicherweise niedrigeren Suchmaschinen-Rankings führt.
• Defekte Funktionalität: Veraltete PHP-Versionen sind möglicherweise nicht mit neueren WordPress-Themes, -Plugins oder -Features kompatibel, wodurch Teile Ihrer Website kaputtgehen oder nicht richtig funktionieren.
• Erhöhte Kosten: Im Laufe der Zeit kann der Betrieb veralteter Software zu teureren Reparaturen, Wartungs- und Hosting-Kosten führen, da sich Probleme anhäufen und das Risiko eines Angriffs steigt.
  ! Aktuell (Dezember 2025) verlangen mehrere Hosting-Anbieter Zusatzgebühren unter dem Titel „PHP Extended Support“ für veraltete PHP-Versionen, z.B. easyname und Ionos

Wie wir helfen können

Wir sind spezialisiert auf WordPress-Entwicklung, WordPress-Wartung und Optimierung und verstehen die entscheidende Rolle, die PHP für die Leistung und Sicherheit Ihrer Website spielt.

Wir können:

• Ihre aktuelle PHP-Version überprüfen und potenzielle Risiken bewerten
• Ihr WordPress-Theme und Ihre Plugins auf Kompatibilität mit der neuesten PHP-Version testen
• Den Upgrade-Prozess (WordPress, Theme, Plugins, PHP) reibungslos durchführen und sicherstellen, dass es keine Ausfallzeiten für Ihre Website gibt
• Ihre Website nach dem Upgrade überwachen, um sicherzustellen, dass alles reibungslos läuft.

Kontaktieren Sie uns noch heute, um zu sehen, ob Ihre WordPress-Website ein PHP-Upgrade benötigt. Wir sorgen dafür, dass Ihre Website mit der neuesten Technologie optimal und sicher läuft.

Der Beitrag Warum Ihre WordPress-Website die neueste Version von PHP 8 verwenden sollte erschien zuerst auf Websicherheit Malware entfernen.

Warum WordPress-Websites gehackt werden

• Um Spam-E-Mails zu versenden
• Um sensible Informationen zu stehlen (Daten, Mailinglisten, gespeicherte Kreditkarten)
• Um Malware auf den Geräten der Nutzer zu installieren
• Um Nutzer auf andere Websites umzuleiten und dadurch Ihren Traffic zu stehlen

Best Practices für die WordPress-Sicherheit

1. Regelmäßige Backups und Überwachung

• Verwenden Sie die automatischen Backup-Funktionen Ihres Hosting-Anbieters
• Installieren Sie ein WordPress-Backup-Plugin wie UpdraftPlus für automatische Backups
• Stellen Sie sicher, dass Backups an mehreren Orten gespeichert werden
• Führen Sie regelmäßige Sicherheitsüberprüfungen durch

2. Halten Sie den WordPress-Core, Themes und Plugins auf dem neuesten Stand

Updates sind Ihre erste Verteidigungslinie gegen Sicherheitslücken. Hacker nutzen oft bekannte Schwachstellen in veralteter Software aus.

• Aktivieren Sie automatische Updates für den WordPress-Core
• Überprüfen und aktualisieren Sie regelmäßig Themes und Plugins
• Entfernen Sie nicht verwendete Themes und Plugins
• Laden Sie Themes und Plugins nur aus seriösen Quellen herunter

3. Stärken Sie die Authentifizierung und Benutzerrollenverwaltung

• Verwenden Sie einzigartige, starke Passwörter
• Vermeiden Sie den Standard-Benutzernamen „admin“
• Nutzen Sie Passwortmanager wie LastPass oder 1Password
• Weisen Sie nur minimale notwendige Berechtigungen zu
• Führen Sie regelmäßige Überprüfungen der Anmeldedaten durch und entfernen Sie Benutzer, die keinen Zugriff mehr benötigen

4. Sichern Sie die WordPress-Datenbank

• Ändern Sie das Standard-Datenbankpräfix
• Begrenzen Sie die Benutzerberechtigungen für die Datenbank
• Verwenden Sie starke Datenbankpasswörter
• Optimieren und bereinigen Sie die Datenbank regelmäßig

5. Begrenzen Sie Anmeldeversuche

• Verwenden Sie Plugins wie Limit Login Attempts oder WordFence
• Sperren Sie Anmeldungen nach mehreren fehlgeschlagenen Versuchen
• Implementieren Sie vorübergehende Sperren
• Richten Sie E-Mail-Benachrichtigungen für verdächtige Anmeldeaktivitäten ein

6. Sichern Sie offene Formulare

• Verwenden Sie Anti-Spam-Plugins wie WP Armour oder Google Captcha
• Deaktivieren Sie Kommentare, wenn sie nicht benötigt werden

7. Deaktivieren Sie die Dateibearbeitung

• Fügen Sie define('DISALLOW_FILE_EDIT', true); zu wp-config.php hinzu
• Verhindern Sie, dass Benutzer Theme- und Plugin-Dateien bearbeiten
• Fördern Sie sichere Dateiverwaltungspraktiken
• Stellen Sie sicher, dass Ihr Server SSL verwendet, um Daten zu verschlüsseln

Fazit

Wenn Ihr euch nicht selbst um alles kümmern wollt,
biete ich sehr preiswerte WordPress Wartung an.

Der Beitrag WordPress-Sicherheits­praktiken, die jeder Website-Besitzer kennen sollte erschien zuerst auf Websicherheit Malware entfernen.

Die meisten Webmaster sind sich durchaus darüber im Klaren, dass eine gehackte Website den Umsatz und das organische Ranking ihrer Website erheblich beeinträchtigen kann. Darüber hinaus kann bösartiger Code oder Software aber auch dazu führen, dass keine Anzeigen auf Google (Google Ads) und anderen Werbeplattformen mehr geschaltet werden können.

Hier finden Sie eine Anleitung, um

• Google Ads Anzeigen wieder freizuschalten, die wegen ‚unerwünschter oder schädlicher Software‘ (Malware) abgelehnt wurden
• die Sperre des Google Ads Konto aufzuheben

Warum werden meine Google Ads aufgrund von Malware abgelehnt?

Google versucht immer, die Nutzer zu schützen.

Wenn Ihre Website gehackt wird, wurde wahrscheinlich Malware auf Ihrer Website installiert und Links führen zu anderen Websites, die Besucher Ihrer Websites schädigen können. Google hat eine Null-Toleranz-Politik gegenüber Websites, die Malware enthalten, und wird alles tun, um zu verhindern, dass diese Anzeigen geschaltet werden.

Es gibt eine Reihe von Gründen, warum Ihre Google Ads abgelehnt werden oder im schlimmsten Fall das ganze Google Ads Konto gesperrt wird, darunter:

1. Schädlicher Code, schädliche Programme oder benutzerdefinierte Skripte.
   Ihre Anzeigen werden sofort gesperrt, wenn Google Malware auf Ihrer Website oder Ihren Zielseiten erkennt. Alle benutzerdefinierten Skripte, die auf bösartige Domains oder Codes verweisen, können dazu führen, dass Google Ihre Anzeige markiert.
2. Gebündelte Software ohne Zustimmung.
   Einige Kriminelle versuchen, zusätzliche Software einzubinden oder zu „bündeln“, um sie von einer Zielseite herunterzuladen. Google nimmt dieses böswillige Vorgehen sehr ernst und verbietet Anzeigen, bei denen festgestellt wird, dass sie ohne Zustimmung Software herunterladen oder enthalten.
3. Benutzerdefinierte Skripte auf Ihrer Zielseite leiten zu schädlichen Inhalten weiter.
   Dazu gehören Weiterleitungen, die Benutzer von Ihrer Zielseite auf eine andere schädliche Website weiterleiten.
4. Auf Ihrer Zielseite finden automatische Downloads statt.
   Google verlangt, dass Software-Downloads erst gestartet werden, wenn der Nutzer durch Klicken auf die Download-Schaltfläche zugestimmt hat. Wenn auf Ihrer Zielseite ein automatischer Download erfolgt, wird Ihre Anzeige mit Sicherheit abgelehnt.
5. Formularfelder laden den Besucher dazu ein, vertrauliche Informationen einzugeben.
   Wenn Sie auf Ihrer Zielseite vertrauliche Informationen wie Sozialversicherungsnummern oder Bankkontodaten von Besuchern anfordern, ist dies ein todsicherer Weg zur Ablehnung Ihrer Anzeigen.
6. Falsche Darstellung des erwarteten Inhalts.
   Jede Anzeige, die das Wort „Download“ oder „Play“ enthält, ohne anzugeben, um welche Software es sich handelt, wird abgelehnt.
7. Böswillige Weiterleitungen zu unerwarteten Inhalten.
   Wenn Ihre Anzeige beispielsweise das Erscheinungsbild der Website des Herausgebers nachahmt und vorgibt, ein Video abzuspielen, stattdessen aber zu einem Software-Download führt, wird sie abgelehnt.
8. Website-Bilder enthalten Malware oder eingebetteten Code.
   Google kann Bilder kennzeichnen, von denen bekannt ist, dass sie schädliche Inhalte enthalten.

Google sagt nicht genau, warum das Google Ads Konto gesperrt wurde.

Ja, das ist das Problem.  Technisch gesehen gibt Google Ihnen einen Grund an, beispielsweise „Verdächtige Zahlungsaktivität“, „unerwünschte oder schädliche Software“ oder „Umgehung von Systemen“, und verweist Sie auf eine allgemeine Richtlinie, die dieses Thema abdeckt. Es kann jedoch sehr schwierig sein, genau herauszufinden, warum Ihr Konto gesperrt wurde.

Wenn Ihre Website kurz davor gehackt wurde, ist es klar, das das Google Ads Konto genau aus diesem Grund gesperrt wurde. Die angegebene Begründung ist dann meist „wegen unerwünschter oder schädlicher Software“.

Wieso nicht einfach ein neues Google Ads-Konto erstellen?

Wenn Ihr Google Ads Konto gesperrt wurde, ist das gar keine gute Idee, ein neues Google Ads Konto zu erstellen und mit diesem weiter Werbung zu schalten. Auch wenn der Google-Support Sie dazu auffordert (was manchmal der Fall ist), tun Sie es nicht. Die Eröffnung eines neuen Google Ads-Kontos für dasselbe Unternehmen, das bereits über ein gesperrtes Google Ads-Konto verfügt, verstößt gegen die Richtlinien von Google. Und Google ist wirklich gut darin, die Zusammenhänge zu erkennen und herauszufinden, was Sie tun möchten und bewertet das als „Umgehung von Systemen“. Das führt dazu, dass Sie für Google von einem Kunden mit einem Problem zu einem Kunden werden, der aktiv versucht, Google zu überlisten.

Das neue Konto wird nicht nur gesperrt werden, sondern das neue Konto kann auch Ihre Chancen auf eine Aufhebung der ursprünglichen Sperre verringern.

Reichen Sie nicht eine Berufung nach der anderen ein

Bei Google gibt es kein offizielles Limit für die Anzahl der Einsprüche, die Sie einreichen können. Je mehr Einsprüche jedoch erfolglos sind, desto geringer ist die Wahrscheinlichkeit, dass Ihr nächster Einspruch geprüft wird.

Google erwartet von Ihnen, dass Sie neue, relevante Informationen übermitteln, wenn Sie erneut einen Einspruch einreichen. Das „Spammen“ des Einspruchsformulars reduziert die Erfolgswahrscheinlichkeit.

Wichtig: das Problem wirklich beheben, bevor Sie Einspruch erheben!

Reparieren Sie die infizierten Dateien entweder durch die Wiederherstellung eines vorherigen sauberen Backups oder durch manuelles Entfernen aller Malware und Hintertüren auf dem Server und auch in der Datenbank.
Kontrollieren Sie auch, ob es Ihnen nicht bekannte Admin Users gibt.

Hinweis: Falls Sie das nicht selbst tun können, bin ich als Spezialist gerne für Sie da – kontaktieren Sie mich.

Verhindern Sie eine erneute Infektion und schützen Sie Ihre Website

Nachdem Sie – oder ein Spezialist – die Website gründlich überprüft hat und Hintertüren entfernt hat, um eine erneute Infektion zu verhindern, muss die Website besser geschützt werden. Stellen Sie sicher, dass alle Updates für WordPress, Plugins und Themes installiert werden, um etwaige Sicherheitsprobleme zu beheben. Und das nicht nur einmalig sondern regelmäßig.

Überprüfen Sie in der Google Search Console, ob Ihre Website auf der schwarzen Liste steht.

Dies muss behoben werden, BEVOR Sie mit einem Einspruch fortfahren .

Abgelehnte Anzeigen wieder freischalten lassen

Sobald Sie die Malware auf Ihrer Website beseitigt haben und alle Updates gemacht wurden, können Sie die folgenden Schritte ausführen, um alle von Google abgelehnten Anzeigen zu beheben:

1. Öffnen Sie ihre Google Ads Konto
2. klicken Sie oben in der Navigation rechts auf Benachrichtigungen.
3. Klicken Sie unter dem Hinweis „Anzeigen abgelehnt“ auf „Beheben“.
4. In der Spalte „Status“ der Anzeige sehen Sie den Grund für die Sperrung.
   Bewegen Sie den Mauszeiger über den Status „Abgelehnt“, um den Link zur Erläuterung der Richtlinie anzuzeigen.
5. Wählen Sie die abgelehnte Anzeige mithilfe des Kontrollkästchens aus.
6. Klicken Sie auf die Schaltfläche „Bearbeiten“ und legen Sie Einspruch gegen die Richtlinienentscheidung ein.
7. Wählen Sie unter Grund des Einspruchs die Option „Änderungen vorgenommen, um der Richtlinie zu entsprechen“ aus.
8. Klicken Sie auf „Senden“, um den Einspruch abzuschließen und Ihre Anzeigen zur Überprüfung einzureichen.

Die Bearbeitung und Behebung dauert oft einige Tage.

Ihren Google Account Manager direkt kontaktieren

Falls der Einspruch nichts bringt oder Sie bekommen die Meldung, dass ihre Website noch nicht alle Richtlinien trifft (was sehr oft der Fall ist, auch wenn ihre Website sauber ist!), sollten Sie versuchen, ihren Google Account Manager direkt zu kontaktieren!

Das geht über den Hilfe-Link rechts oben im Google Ads Menü. Im Sidebar dann die Kontakt-Option auszuwählen (ganz unten) und „Contact Us“ selektieren um eine E-Mail direkt zu senden:

• Machen Sie klar, dass Ihr Unternehmen seriös ist und was Sie bisher zur Lösung des Problems unternommen haben.
• Hier ist wichtig zu schreiben, dass alle Problemen gefunden und behoben sind, und auch die Website Sicherheit erhöht wurde durch die Aktualisierung alle Komponenten.
• Vielleich bei Ihnen nicht notwendig zu erwähnen, aber … bleiben Sie höflich, auch wenn die Situation für Sie kritisch ist. Ihr Google Account Manager ist nicht für die Kontosperrung verantwortlich, aber oft Ihre einzige Chance, dass Ihr Konto wieder freigeschaltet wird!

Auch hier dauert die Bearbeitung und Behebung oft einige Tage, aber meiner Erfahrung nach ist das die Methode mit dem größten Erfolgspotenzial.

Brauchen Sie Hilfe bei Ihrer Website?

Als Spezialist für WordPress bin ich für gerne für Sie da – kontaktieren Sie mich!

Der Beitrag Ihre Google Ads Konto ist gesperrt wegen „schädlicher Software“ – der schnellste Weg erschien zuerst auf Websicherheit Malware entfernen.

Wenn der Fehler nicht behoben wird, könnte er es einem Angreifer ermöglichen, unbefugten Administratorzugriff auf betroffene Stores zu erhalten, sagte das Unternehmen in einem Advisory vom 23. März 2023. Er betrifft die Versionen 4.8.0 bis 5.6.1.

Die Entdeckung und Meldung der Schwachstelle wird Michael Mazzolini vom Schweizer Unternehmen für Penetrationstests GoldNetwork zugeschrieben.

Automattic – das Unternehmen hinter WordPress und WooCommerce – veröffentlicht automatische / erzwungene Updates aller Websites, die dieses Plugin verwenden.

Neben der Aktualisierung auf die neueste Version wird Benutzern empfohlen, nach neu hinzugefügten Administratorbenutzern zu suchen und in diesem Fall alle Administratorkennwörter zu ändern und Zahlungsgateway- und WooCommerce-API-Schlüssel zu rotieren.

Der Beitrag Kritischer Fehler im WooCommerce Payments Plugin betrifft mehr als 500.000 WordPress-Sites erschien zuerst auf Websicherheit Malware entfernen.