Schlagwort: Joomla

Veröffentlicht am

Probleme bei der Installation von Joomla

Aufgrund eines Programmierfehlers im Installer der aktuellen Joomla-Version 3.7.4 lässt sich diese nicht auf unseren Webservern installieren. Die Fortschrittsanzeige bei der Installation bleibt bei etwa 10% stehen, dann passiert nichts mehr.

Der Fehler ist den Joomla-Entwicklern bekannt und wird in der nächsten Joomla-Version behoben. Bitte nutzen Sie für eine Neuinstallation von Joomla bis dahin die Vorgängerversion 3.7.3 und nehmen dann ein Update auf die aktuelle Joomla-Version vor.

Update

Der Fehler wurde in der neuen Joomla Version 3.7.5 behoben.

Veröffentlicht am

Angriffe auf veraltete Joomla-Installationen

Seit Beginn dieses Jahres beobachten wir zahlreiche Angriffe auf veraltete Joomla-Installationen auf unseren Webservern. Betroffen sind alle Joomla-Installationen, die noch nicht den aktuellen Versionszweig 3.6 nutzen. Sämtliche dieser älteren Versionen werden nicht mehr von den Joomla-Entwicklern unterstützt und weisen diverse kritische Sicherheitsprobleme auf, die nicht mehr durch Updates behoben werden. Angreifer können so beispielsweise Ihre Webseiten mit JavaScript-Schadcode versehen oder in Ihrem Namen Spam versenden. Bisherige Angriffe auf ältere Joomla-Installationen wurden meistens durch unsere Webserver-Firewall abgewehrt, doch in den aktuellen Fällen ist es den Angreifern gelungen, unsere Schutzmaßnahmen zu überwinden und so die Sicherheitslücken in Joomla auszunutzen.

Leider ist eine Aktualisierung älterer Joomla-Installationen sehr Aufwändig, häufig treten dabei auch Probleme auf. Falls Ihre Joomla-Installation nach einem Update nicht mehr funktioniert, können sie ein Backup vom Webspace und der MySQL-Datenbank einspielen.

Joomla 1.0 und 1.5 aktualisieren

Ein Update der Versionen 1.0 und 1.5 auf 3.6 ist leider nicht so einfach möglich, da beim Schritt vom Version 1.5 auf 1.6 diverse nicht abwärtskompatible Änderungen an Joomla vorgenommen wurden, so lassen sich etwa bestehende Templates nicht mehr weiter nutzen. In diesem Fall ist eine aufwändige Migration der alten Daten in eine neue Joomla-Installation mithilfe von kostenpflichtigen Extensions erforderlich. Aufgrund der Vielzahl an möglichen Problemen bei der Migration empfiehlt es sich, einen spezialisierten Joomla-Dienstleister mit dem Update zu beauftragen. Aufgrund des hohen Aufwandes kann es in vielen Fällen sinnvoller sein, eine neue Webseite mit der aktuellen Joomla-Version oder einem anderen Content-Management-System wie WordPress aufzusetzen.

Falls Sie trotz der möglichen Probleme ein Update von Joomla 1.5 selbst vornehmen möchten, empfehlen wir, zunächst eine Neuinstallation von Joomla in Version 2.5 vorzunehmen, und die Daten aus der alten Joomla-Installation dann mittels der kostenlosen Extension redMigrator in die neue Installation zu importieren (der Zwischenschritt auf Joomla 2.5 ist notwendig, da die Extension unter neueren Joomla-Versionen nicht mehr funktioniert). Abschließend können Sie die neue Joomla-Installation dann wie oben beschrieben auf die aktuelle Version 3.6 aktualisieren.

Joomla 1.6 und neuer aktualisieren

Falls Sie Joomla in Version 1.6 nutzen, prüfen Sie zunächst, ob Ihre Joomla-Installation bereits auf die letzte Version 1.6.6 dieses Versionszweiges aktualisiert wurde. Falls nicht, laden Sie ein passendes Patch-Package herunter, entpacken es und kopieren die Inhalte dann per (S)FTP in das Joomla-Installationsverzeichnis auf Ihrem Webserver. Danach können Sie Joomla über das Backend wie im Folgenden beschrieben updaten:

Falls Sie Joomla Version 1.6.6 oder neuer nutzen, können Sie die Updates per Web-Browser über das Joomla-Backend vornehmen. Beachten Sie bitte, dass dabei unter Umständen Kompatibilitätsprobleme mit Templates und Zusatzkomponenten von Drittanbietern auftreten können, vor dem Update müssen daher alle nicht mit Joomla 3.6 kompatiblen Erweiterungen von Drittanbietern deinstalliert werden. Eine detaillierte Anleitung zum Update finden Sie hier. Das Update erfordert unter Umständen mehrere Zwischenschritte, bis die aktuelle Version 3.6 erreicht ist.

Aktuelle PHP-Version nutzen

Manche Sicherheitslücken in PHP-Anwendungen wie Joomla lassen sich nur im Zusammenspiel mit veralteten PHP-Versionen ausnutzen. Wir empfehlen daher, eine möglichst aktuelles PHP ab Version 5.6 einzusetzen. PHP-Versionen älter als 5.6 sollten nur bei Kompatibilitätsproblemen genutzt werden. Eine Anleitung zur Auswahl einer PHP-Version finden Sie hier.

Sicherheits-Hotfixes für alte Joomla-Versionen

Falls ein sofortiges Update Ihrer Joomla-Installation nicht möglich ist, sollten Sie wenigstens die von den Joomla-Entwicklern empfohlenen Sicherheits-Hotfixes installieren.

Installation der Hotfixes für Joomla 2.5

Prüfen Sie zunächst, ob Ihre Joomla-Installation bereits auf die letzte Joomla 2.5 Version 2.5.28 aktualisiert wurde. Falls nicht, melden Sie sich als Administrator im Joomla-Backend an und nehmen dort  unter “Joomla!-Aktualisierung” ein Update vor. Anschließend installieren sie die beiden Sicherheits-Hotfixes wie folgt:

Die Datei Joomla2.5.28-20161214PATCH.zip wird über den Joomla Extension Manager als Update-Paket installiert. Nach der Installation erfolgt automatisch ein Logout, es gibt keine weitere Rückmeldung, ob die Installation erfolgreich war.
Die Datei SessionHardening25v1.zip enthält aktualisierte Versionen der Dateien libraries/joomla/session/session.php und plugins/system/debug/debug.php. Entpacken Sie die ZIP-Datei auf Ihrem Rechner und übertragen Sie die entpackten Verzeichnisse dann per (S)FTP in die entsprechenden Verzeichnisse Ihrer Joomla-Installation auf dem Webserver.

Installation der Hotfixes für Joomla 1.5

Prüfen Sie zunächst, ob Ihre Joomla-Installation bereits auf die letzte Joomla 1.5 Version 1.5.26 aktualisiert wurde. Falls nicht, laden Sie ein passendes Patch-Package herunter, entpacken es und kopieren die Inhalte dann per (S)FTP in das Joomla-Installationsverzeichnis auf Ihrem Webserver. Anschließend installieren sie die beiden Sicherheits-Hotfixes wie folgt:

Die Datei UploadFix15v3.zip enthält aktualisierte Versionen der Dateien administrator/components/com_media/helpers/media.php und libraries/joomla/filesystem/file.php. Entpacken Sie die ZIP-Datei auf Ihrem Rechner und übertragen die entpackten Verzeichnisse dann per (S)FTP in das Hauptverzeichnis Ihrer Joomla-Installation auf dem Webserver.
Die Datei SessionFix15v2.zip enthält aktualisierte Versionen der Dateien libraries/joomla/session/session.php und plugins/system/debug/debug.php. Entpacken Sie die ZIP-Datei auf Ihrem Rechner und übertragen die entpackten Verzeichnisse dann per (S)FTP in das Hauptverzeichnis Ihrer Joomla-Installation auf dem Webserver.

Veröffentlicht am

Schwere Sicherheitslücke in allen Joomla-Versionen

Am 14. Dezember wurde eine schwere Sicherheitslücke in allen Versionen des beliebten Content-Management-Systems Joomla bekanntgegeben, die es Angreifern ermöglicht, beliebigen PHP-Code auszuführen. Diese Sicherheitslücke wurde bereits 2 Tage zuvor ausgenutzt, um über automatisierte Scripte massenhaft Joomla-Installationen mit Schadcode zu infizieren.

Wir haben nach Veröffentlichung der Details am Abend des 14. Dezember unsere Webserver-Firewall angepasst, um die uns bekannten automatisieren Angriffe zu unterbinden, doch einen Schutz vor neuartigen Angriffen auf diese Sicherheitslücke gibt es nicht. Sofern Sie eine Joomla-Installation auf unseren Webservern nutzen, sollten Sie daher unverzüglich die bereitgestellten Updates installieren.

Joomla Version 3.x lässt sich über den integrierten Updater auf die neue Version 3.4.6 aktualisieren. Für die älteren Versionen 1.5 und 2.5 stehen Updates für die betroffene Datei “libraries/joomla/session/session.php” bereit, die manuell per (S)FTP bzw. SSH installiert werden müssen.

Update

Die Sicherheitslücke lässt sich nur in Zusammenhang mit einem Bug in älteren PHP-Versionen ausnutzen. Betroffen ist bei uns nur PHP 5.3, für das es seit längerer Zeit keine Sicherheitsupdates mehr gibt. Die für Ihre Webseite benutzte PHP-Version können Sie über eine PHP-Datei mit folgender Zeile ermitteln:
<?php phpinfo();?>

Veröffentlicht am

PHP 7.0 verfügbar

Seit heute steht auf unseren Webservern die neue Version 7.0 von PHP zur Verfügung. Der Versionssprung von 5.6 auf 7 liegt daran, dass die Entwicklung von PHP 6 aus verschiedenen Gründen eingestellt wurde.

Vorteile von PHP 7

Die Hauptverbesserungen bei PHP 7 wurden an den internen Datenstrukturen vorgenommen, dort konnte der Speicherbedarf stark reduziert werden. Dies führt zu einer deutlichen Erhöhung der Ausführungsgeschwindigkeit von PHP-Scripten, in der Praxis laufen viele Anwendungen wie z.B. WordPress unter PHP 7.0 doppelt so schnell wie unter PHP 5.6, der Umstieg auf PHP 7 lohnt sich also.

Mögliche Probleme beim Wechsel auf PHP 7

Bei PHP 7 wurden einige bisher nur als veraltet markierte Extensions endgültig entfernt, darunter auch die häufig eingesetzte originale MySQL-Extension. Als Alternativen können die MySQL-Improved-Extension (MySQLi) oder PDO genutzt werden.

Weiterhin sind einige Begriffe wie int, float, bool, string, true, false und null nun reserviert und dürfen nicht mehr für Klassennamen oder Ähnliches genutzt werden, dies führt bei einigen PHP-Anwendungen wie beispielsweise Joomla zu Problemen.

Eine vollständige Übersicht der nicht abwärtskompatiblen Änderungen finden Sie hier.

Aufgrund dieser Änderungen sind viele bekannte PHP-Anwendungen nicht kompatibel mit PHP 7. Für die meisten betroffenen Anwendungen sollten jedoch in Kürze Updates erscheinen, die diese Probleme beheben. Die bei uns am häufigsten genutzte PHP-Anwendung WordPress ist in der aktuellen Version vollständig kompatibel mit PHP 7, es kann jedoch unter Umständen Probleme mit älteren WordPress-Plugins geben.

PHP 7 aktivieren

PHP 7 wird nicht automatisch für alle PHP-Scripte auf unseren Webservern genutzt, da bei einer Änderung der Standard-PHP-Version viele Webseiten nicht mehr korrekt funktionieren würden. Sie können jedoch die gewünschte PHP-Version für Ihre Webseiten über eine Konfigurationsdatei vorgeben, eine Anleitung dazu finden Sie hier.