Moin,
Ich bin über dieses Thema gestolpert, weil ich einen Hosting-Account mit einer kleinen Firmen-Homepage für meine Frau verwalte und diese genau von dem erwähnten CVE-2026-21628 (Astroid Framework/Joomla) betroffen war.
Allerdings stellte sich das ganze bei mir alles etwas anders dar, als vom Themen-Initiator beschrieben.
Wir wurden darauf aufmerksam gemacht, dass die Homepage einen Fehler meldet und "irgendwie gehackt" scheint. Als ich nun nachschaute, bekam ich beim Aufruf der Joomla-Admin-Seite einen HTTP 403 (Forbidden). Per FTP kam ich drauf und auch über das CCP/Plesk. Bis auf haufenweise kryptische Dateinamen und Verzeichnisse im httpdocs Verzeichnis sah alles normal aus. Das heißt unter den anderen Ordner (.ssh, etc usw.) war nix verändert worden.
Also wollte ich erstmal httpdocs leeren, um dann ein Backup einzuspielen und abzusichern, aber ich war ausgesperrt - genau wie es der Themen-Initiator schilderte. Ich bekam per FTP und Plesk-Dateimanager immer nur "Permission Denied".
Ich versuchte die von friend_of_root ins Thema geschriebenen PHP-Scripte zu benutzen (Stichwort: Selben Rechte wie der Angreifer) ... allerdings konnte ich in httpdocs auch keine neuen Dateien anlegen/hochladen.
Ich habe dann den SSH-Zugang aktiviert, um mit meinem leicht eingerostetem Linuxianisch mal zu schauen. Leider sind auf dem eingeschränkten Hosting-Account viele der Bash-Befehle (z.b. stat, lsattr usw) unbekannt, deshalb kann ich Euch auch die früher im Thema erfragten Outputs nicht liefern. Aber ich kam letztendlich dahinter, dass mir lediglich die Schreibrechte genommen worden waren. Das heißt der gesamte httpdocs Ordner und alle Dateien und Ordner darin war auf Berechtigung 555 (also nur lesen und ausführen für alle).
Somit konnte ich letztendlich mit einem simplen chmod -R 755 ./httpdocs per SSH Terminal mir wieder Zugriff verschaffen und kann nun das Backup einspielen.