htprotect.orgでは、広く使われているJoomlaの拡張機能やフレームワークで見つかった重大な脆弱性を、最新の情報としてまとめています。内容は事実に基づき、閲覧は無料です。対処の方法は、初めての方でも追えるようステップごとに解説しています。目的は、影響を受ける方にいち早く警告を届け、脆弱性を確実に塞ぐお手伝いをすることです。
現在、重大と評価されている脆弱性が10件あります。インストールされているバージョンをご確認ください。各項目に詳細と対処手順を用意しています。
それぞれの脆弱性を簡潔にまとめています。クリックすると、初めての方にもわかりやすい詳しい手順に進めます。
JoomShaperのテンプレートフレームワーク「Helix3」のAJAXプラグインで、複数の深刻な脆弱性が公表されました。ログインしていない状態でもファイルの書き込みや削除ができ、PHPコードのアップロードまで可能です。影響を受けるのは3.1.1より前のすべてのバージョンで、修正版はJoomlaの通常の更新機能から入手できます（現在は3.1.2）。なお、Helix3は新しいHelix Ultimateとは別の製品ですのでご注意ください。
JoomShaperのテンプレートフレームワーク「Helix Ultimate」は、ログインしていない訪問者に対してもAJAXハンドラーを実行します。バージョン2.2.7より前では、複数の処理がログインの確認も権限の確認も行わないまま動作していました。最も深刻なのはメニューへの書き込みで、悪意のあるスクリプトを恒久的に埋め込めてしまいます（保存型XSS）。さらに、パストラバーサルによるファイル削除、オープンリダイレクト、無防備なテンプレートのエクスポートもあります。影響を受けるのは2.2.7より前のすべてのバージョンで、修正版はJoomlaの更新機能から入手できます（現在は2.2.8）。なお、Helix UltimateはHelix3とは別の製品です。
広く使われているAstroid Frameworkに、ログインなしでファイルをアップロードできてしまう深刻な脆弱性が見つかりました。最悪の場合、サーバー上でコードを実行されます（RCE）。対象となるのは2.0.0～3.3.10のバージョンです。3.3.11で修正されましたが、更新先としては3.3.13以降が推奨されています（CVE-2026-21628）。すでに侵入されたサイトでは、「BLPayload」や「JCachePro」といったプラグインが勝手に追加されている例が多く見られます。
Tassos Framework（旧Novarain）は、Convert FormsやEngageBoxといった人気の拡張機能の内部で、気づかれないまま動き続けています。未認証のAJAX呼び出しからファイルやデータベースにアクセスされる恐れがあり、深刻度はCVSS 9.5、評価は「重大」です。攻撃ツールもすでに一般に公開されています（CVE-2026-21627）。対処は簡単で、Tassosの拡張機能をいずれか1つ更新するだけです。その際にフレームワークも自動的に安全なバージョン（6.0.62以降）へ引き上げられます。
JCEはJoomlaで最も広く使われているエディターの一つです。アクセス制御の不備により、未認証の攻撃者がエディタープロファイルをアップロードし、それを足がかりに任意のファイルをサーバーへ送り込める状態でした。この脆弱性はすでにWebシェルの設置に悪用されています。影響を受けるのは2.9.99.5より前のすべてのバージョン（FreeおよびPro）で、ユーザー登録が有効かどうかは関係ありません。安全なのは2.9.99.5、さらに推奨されるのは後続の2.9.99.6です。
iCagendaは、Joomlaで広く使われているイベントカレンダーです。イベントを投稿するフォームに実質的なログイン確認がなく、登録ユーザー限定に設定していても、ログインしていない攻撃者がファイルをアップロードできる状態でした。Joomla 6（6.0.0～6.1.1）では、これが認証不要のファイルアップロードという重大な脆弱性になります（CVE-2026-48939）。影響を受けるのはiCagenda 3.2.1～4.0.7で、4.0.8（Joomla 3では3.9.15）で修正されています。
SP Page BuilderはJoomlaで最も広く使われているページビルダーの一つです。カスタムアイコンのアップロード機能にゼロデイ脆弱性があり、ログインの有無もファイル種別も検証していなかったため、認証なしでコードを実行できる状態でした（RCE）。影響を受けるのは6.6.1までの6.x系すべてで、緊急アップデート6.6.2で修正されます。この脆弱性はすでに実際の攻撃で悪用されており、隠されたスーパーユーザーやバックドアが残されます。
Balbooa Formsは、Joomlaで広く使われているフォーム作成用の拡張機能です。フォームのファイルアップロード機能は、ログインを一切求めず、セキュリティトークンやファイル形式の確認もないままファイルを受け取っていました。これを悪用すると、攻撃者は実行可能なPHPファイルを外部から到達できるフォルダーに置き、そのまま実行できます（リモートコード実行）。影響を受けるのは2.4.0以下のすべてのバージョンで、アップデート2.4.1で修正されます（CVE-2026-56291）。この脆弱性はすでに実際の攻撃で悪用されています。
AcyMailingは、Joomlaで広く使われているニュースレター配信コンポーネントです。誰でもアクセスできるフロントエンドのエンドポイントが、リクエストのパラメータを検証しないままデータベースへの問い合わせに渡していました。そのため、ログインしていない訪問者でも任意のテーブルを読み取れる状態でした。対象にはパスワードハッシュを含むユーザーアカウントやサイトのコンテンツも含まれます（SQLインジェクション）。影響を受けるのはバージョン6.0.0～10.11.0で、10.11.1以降で修正されています（CVE-2026-56292）。
RSFiles!は、Joomlaでファイルやダウンロードを管理するための拡張機能です。フロントエンドのアップロード機能がログインなしで呼び出せてしまい、セキュリティトークンもファイル形式も検証していませんでした。そのため、PHPファイルを公開ディレクトリに置いて実行させることができます（リモートコード実行）。影響を受けるのは1.17.11以前のすべてのバージョンで、1.17.12へのアップデートでこの脆弱性は解消します。
ここで紹介している脆弱性は、そのほとんどが同じ手順で塞げます。使うのはJoomlaの更新機能だけです。以下は、初めての方に向けた基本的な流れです。
Joomlaの管理画面を開きます。ご自身のドメインの末尾に/administratorを付けたURLです。表示されたらログインしてください。
システム›更新›拡張機能を開き、更新を確認をクリックします。
一覧から対象の拡張機能を選び、更新をクリックします。Joomlaが新しいバージョンを自動でダウンロードし、インストールします。
続いて、インストールされたバージョン番号を確認します（コンポーネントの画面、または拡張機能›管理）。各詳細ページに記載している「安全なバージョン」と照らし合わせてください。
アップデートで脆弱性は塞がれますが、すでに埋め込まれた不正なコードが取り除かれるわけではありません。不審な点があれば、専門家によるサイトの駆除を依頼してください。対応できる事業者はJoomlaサービスプロバイダーディレクトリで探せます。あわせて、すべてのパスワードを変更しましょう。
HTProtect
ここに挙げた脆弱性の多くは、認証不要のファイルアップロードという同じ型に当てはまります。HTProtectは、まさにこの点に対処するJoomla向けの追加の防御層です。あわせて、拡張機能を最新の状態に保つ手助けもします。
.htaccessだけでは見えないPOSTボディ内の攻撃リクエストもブロックします。補足：最も効果的な対策は、やはり拡張機能を最新の状態に保つことです。HTProtectは、バックアップも含めてその作業を自動で引き受けます。アップデートを適用するまでの間も、WAFや.htaccessの堅牢化でリスクを下げ、異常があればお知らせします。
ファイルをアップロードせずに、「URLからインストール」で直接導入することもできます（拡張機能 › 管理 › インストール › URLからインストール）：
htprotect.orgは、特定のベンダーに依存しない無料の情報サイトです。次の皆さまにご支援いただいています。
ドイツのJoomla専門ホスティング事業者です。活発なコミュニティサポートで知られ、JCEの脆弱性を狙った最初の攻撃を発見しました。
fc-hosting.de
JoomlaおよびWordPressサイトの駆除、保守、セキュリティ対策を専門としています。
website-bereinigung.deホスティングやJoomla関連のサービスを運営していて、htprotect.orgを支援し、サポーターとしてこのページに掲載されたいとお考えではありませんか。いただいたご支援は、影響を受ける方々により早く警告を届け、より早く守るために役立ちます。
掲載は不要で、個人として支援したいという方へ。投げ銭への少額のご支援も、同じようにありがたく受け取っています。
工事現場の看板、仮囲い、ファサードの製作と施工を手がけています。デザインや3Dビジュアライゼーションにも対応しています。
bauschildundservice.de
