Ich habe bei dir in einem Beitrag den Datenbanknamen „joomla“ gelesen. Nutzt du in deinem Joomla das Astroid Framework? Da gibt es gerade die CVE-2026-21628 mit Score 10 also sehr kritisch.
Darüber laden Angreifer Remote Shells hoch und übernehmen Webspaces, so wie wahrscheinlich bei dir geschehen.
Die anderen im Thread fragen nicht ohne Grund nach dem kompletten ls-Output. Ich habe bis jetzt immer nur Rechte-Nummer (0644) gesehen. Die Frage ist aber generell, wem gehören alle Dateien?
Es könnte sein wenn so eine Datei über die Webseite hochgeladen wird, dass sie dem www-user gehört, während du möglicherweise als Plesk User drin bist, und die Dateien des anderen Users nicht anfassen darfst. Was ich nicht weiß, könnte sein das Netcup einen Virenscanner hat, und die Datei bereits weggesperrt hat.
Vielleicht kann dir die KI dabei helfen.
Eine andere Idee wäre, Supports sind meist in mehrere Stufen unterteilt. 1st Level könnte mit Textbausteinen umeinander werfen. Verlange mal, dass das Ticket an das nächst höhere Level eskaliert wird, mit dem Wortlaut das nach einem Incident etwas schadhaftes auf dem Space liegt mit möglicherweise anderen Benutzerrechten (vorher prüfen) oder ein möglicher Virenscanner hat das gesperrt.
Löschen ist immer eine schwierige Sache, sie sollen die Benutzerrechte anpassen/reparieren wenn das wirklich so ist, und ein mögliches immutable entfernen. Danach solltest du es selbst löschen dürfen/können.
Schau auch, dass das Joomla von außen nicht erreichbar ist, nicht dass Remote ein Bot drauf sitzt und möglicherweise die Rechte sofort wieder umschreibt, wenn in der .htaccess aber
deny from all drin steht ist es möglicherweise eh verriegelt.