htprotect.orgでは、広く使われているJoomlaの拡張機能やフレームワークで見つかった重大な脆弱性を、最新の情報としてまとめています。内容は事実に基づき、閲覧は無料です。対処の方法は、初めての方でも追えるようステップごとに解説しています。目的は、影響を受ける方にいち早く警告を届け、脆弱性を確実に塞ぐお手伝いをすることです。
現在、重大と評価されている脆弱性が10件あります。インストールされているバージョンをご確認ください。各項目に詳細と対処手順を用意しています。
それぞれの脆弱性を簡潔にまとめています。クリックすると、初めての方にもわかりやすい詳しい手順に進めます。
JoomShaperのテンプレートフレームワーク「Helix3」のAJAXプラグインで、複数の深刻な脆弱性が公表されました。ログインしていない状態でもファイルの書き込みや削除ができ、PHPコードのアップロードまで可能です。影響を受けるのは3.1.1より前のすべてのバージョンで、修正版はJoomlaの通常の更新機能から入手できます（現在は3.1.2）。なお、Helix3は新しいHelix Ultimateとは別の製品ですのでご注意ください。
JoomShaper のテンプレートフレームワーク Helix Ultimate は、ログインしていない訪問者に対しても AJAX ハンドラーを実行します。バージョン 2.2.7 より前では、複数のアクションがログインの確認も権限の確認も行わずに動作していました。最も深刻なのはメニューへの書き込みで、悪意のあるスクリプトを恒久的に埋め込めてしまいます（保存型 XSS）。さらに、パストラバーサルによるファイル削除、オープンリダイレクト、無防備なテンプレートのエクスポートもあります。2.2.7 より前のすべてのバージョンが影響を受け、修正版は Joomla のアップデート機能から入手できます（現在は 2.2.8）。なお、Helix Ultimate は Helix3 とは別の製品です。
広く使われているAstroid Frameworkに、ログインなしでファイルをアップロードできてしまう深刻な脆弱性が見つかりました。最悪の場合、サーバー上でコードを実行されます（RCE）。対象となるのは2.0.0～3.3.10のバージョンです。3.3.11で修正されましたが、更新先としては3.3.13以降が推奨されています（CVE-2026-21628）。すでに侵入されたサイトでは、「BLPayload」や「JCachePro」といったプラグインが勝手に追加されている例が多く見られます。
Tassos Framework（旧 Novarain）は、Convert Forms や EngageBox といった人気の拡張機能の内部で、気づかれないまま動き続けています。未認証の AJAX 呼び出しからファイルやデータベースにアクセスされる恐れがあり、深刻度は CVSS 9.5、評価は「重大」です。攻撃ツールもすでに一般に公開されています（CVE-2026-21627）。対処は簡単で、Tassos の拡張機能をいずれか 1 つ更新するだけです。その際にフレームワークも自動的に安全なバージョン（6.0.62 以降）へ引き上げられます。
JCEはJoomlaで最も広く使われているエディターの一つです。アクセス制御の不備により、未認証の攻撃者がエディタープロファイルをアップロードし、それを足がかりに任意のファイルをサーバーへ送り込める状態でした。この脆弱性はすでにWebシェルの設置に悪用されています。影響を受けるのは2.9.99.5より前のすべてのバージョン（FreeおよびPro）で、ユーザー登録が有効かどうかは関係ありません。安全なのは2.9.99.5、さらに推奨されるのは後続の2.9.99.6です。
iCagendaは、Joomlaで広く使われているイベントカレンダーです。イベントを投稿するフォームに実質的なログイン確認がなく、ログインしていない訪問者でもイベントを登録できる状態でした。Joomla 6（6.0.0～6.1.1）では、これが認証不要のファイルアップロードという重大な脆弱性になります（CVE-2026-48939）。影響を受けるのはiCagenda 3.2.1～4.0.7で、4.0.8（Joomla 3では3.9.15）で修正されています。
SP Page BuilderはJoomlaで最も広く使われているページビルダーの一つです。カスタムアイコンのアップロード機能にゼロデイ脆弱性があり、ログインの有無もファイル種別も検証していなかったため、認証なしでコードを実行できる状態でした（RCE）。その後さらに、ログイン不要のSQLインジェクションが加わり、6.7.1までが対象となりました。安全なのは6.8.0からです。この脆弱性はすでに実際の攻撃で悪用されており、隠されたスーパーユーザーやバックドアが残されます。
Balbooa Formsは、Joomlaで広く使われているフォーム作成用の拡張機能です。フォームのファイルアップロード機能は、ログインを一切求めず、セキュリティトークンやファイル形式の確認もないままファイルを受け取っていました。これを悪用すると、攻撃者は実行可能なPHPファイルを外部から到達できるフォルダーに置き、そのまま実行できます（リモートコード実行）。その後、2件目の脆弱性が明らかになりました。ログインなしでPHPコードを送り込まれるもので（CVE-2026-67364、深刻度は10段階中10）、2.4.3.1以下のすべてのバージョンが影響を受けます。安全なのは2.4.3.2以降です。この脆弱性はすでに実際の攻撃で悪用されています。
AcyMailingは、Joomlaで広く使われているニュースレター配信コンポーネントです。誰でもアクセスできるフロントエンドのエンドポイントが、リクエストのパラメータを検証しないままデータベースへの問い合わせに渡していました。そのため、ログインしていない訪問者でも任意のテーブルを読み取れる状態でした。対象にはパスワードハッシュを含むユーザーアカウントやサイトのコンテンツも含まれます（SQLインジェクション）。影響を受けるのはバージョン6.0.0～10.11.0で、10.11.1以降で修正されています（CVE-2026-56292）。
Page Builder CKは、Joomlaで広く使われているページビルダーで、無償版も提供されています。アップロード機能がログインもファイル種別も検証していなかったため、アカウントを持たない相手でも実行可能なファイルを送り込み、サーバーを乗っ取ることができました。JoomShaperのSP Page Builderとは別の製品です。SP Page Builderには別の脆弱性があるため、混同しないでください。
Balbooa Gridboxは、Joomla向けのページビルダーです。2.20.1以下のバージョンには重大な脆弱性が複数あり、攻撃者はログインを一切せずに管理者アカウントを作成したり、他人のパスワードを再設定したり、既存のアカウントを乗っ取ったりできました。いま初めて更新する場合は、勝手に作られたアカウントが残っていないかもあわせて確認してください。
RSFiles!は、Joomlaでファイルやダウンロードを管理するための拡張機能です。フロントエンドのアップロード機能がログインなしで呼び出せてしまい、セキュリティトークンもファイル形式も検証していませんでした。そのため、PHPファイルを公開ディレクトリに置いて実行させることができます（リモートコード実行）。影響を受けるのは1.17.11以前のすべてのバージョンで、1.17.12へのアップデートでこの脆弱性は解消します。
ここで紹介している脆弱性は、そのほとんどが同じ手順で塞げます。使うのはJoomlaの更新機能だけです。以下は、初めての方に向けた基本的な流れです。
Joomlaの管理画面を開きます。ご自身のドメインの末尾に/administratorを付けたURLです。表示されたらログインしてください。
システム›更新›拡張機能を開き、更新を確認をクリックします。
一覧から対象の拡張機能を選び、更新をクリックします。Joomlaが新しいバージョンを自動でダウンロードし、インストールします。
続いて、インストールされたバージョン番号を確認します（コンポーネントの画面、または拡張機能›管理）。各詳細ページに記載している「安全なバージョン」と照らし合わせてください。
アップデートで脆弱性は塞がれますが、すでに埋め込まれた不正なコードが取り除かれるわけではありません。不審な点があれば、専門家によるサイトの駆除を依頼してください。対応できる事業者はJoomlaサービスプロバイダーディレクトリで探せます。あわせて、すべてのパスワードを変更しましょう。
HTProtect
ここに挙げた脆弱性の多くは、認証不要のファイルアップロードという同じ型に当てはまります。HTProtectは、まさにこの点に対処するJoomla向けの追加の防御層です。あわせて、拡張機能を最新の状態に保つ手助けもします。
.htaccessだけでは見えないPOSTボディ内の攻撃リクエストもブロックします。補足：最も効果的な対策は、やはり拡張機能を最新の状態に保つことです。HTProtectは、バックアップも含めてその作業を自動で引き受けます。アップデートを適用するまでの間も、WAFや.htaccessの堅牢化でリスクを下げ、異常があればお知らせします。
ファイルをアップロードせずに、「URLからインストール」で直接導入することもできます（拡張機能 › 管理 › インストール › URLからインストール）：
htprotect.orgは、特定の開発元に依存しない無料の情報サイトです。運営は以下の皆さまに支えられています。
ドイツのJoomla専門ホスティング事業者 – 活発なコミュニティサポートを行い、JCEの脆弱性を狙った最初の攻撃を発見しました。
fc-hosting.de
JoomlaとWordPressサイトの改ざん復旧、保守、セキュリティ対策を専門としています。
website-bereinigung.deホスティングやJoomla関連のサービスを運営されている方へ – htprotect.orgを支援し、サポーターとしてこのページに掲載されませんか。どのようなご支援も、影響を受けた方々により早く警告を届け、より早く保護することにつながります。
掲載は不要で、そっと支援したいという方へ。ささやかなカンパも同じようにありがたくお受けしています。
Berlinの情報セキュリティコンサルティング – 中小企業向けにセキュリティ診断、リスクマネジメント、ISO 27001対応を支援します。
isari-consult.de