脆弱性

AcyMailingに認証不要のSQLインジェクション脆弱性：任意のテーブルとパスワードハッシュが読み取り可能

緊急CVE-2026-56292

今すぐ対応を

AcyMailingを直ちに10.11.1以降へアップデートしてください。未対策のまま運用していた期間がある場合は、あわせてすべてのパスワードを変更してください。

安全なバージョンをダウンロードアップデート手順へ

安全なバージョン： AcyMailing 10.11.1以降 · via AcyMailing

ひと目でわかる基本情報

対象の拡張機能

AcyMailing – ニュースレター配信コンポーネント（com_acym）

開発元

Acyba

脆弱性の種類

公開されたフロントエンドのエンドポイントを悪用する認証不要のSQLインジェクション。ログインなしでデータベースの任意のテーブル（ユーザーアカウント、パスワードハッシュ、コンテンツ）を読み取られます

影響を受けるバージョン

バージョン6.0.0から10.11.0まで（10.11.0を含む）

安全なバージョン

AcyMailing 10.11.1以降ダウンロード

深刻度

緊急

CVE

CVE-2026-56292

Joomlaとの互換性

Joomla 3 / 4 / 5

更新日／公開日

公開・修正日：2026年7月9日

どのような脆弱性ですか？

AcyMailing（com_acym）は、Joomlaでニュースレターやメール配信キャンペーンを管理するコンポーネントです。誰でも、つまりログインなしで到達できるフロントエンドのエンドポイントが、渡されたパラメータを検証しないままSQLクエリに組み込んでいたため、クエリそのものを外部から操作できてしまいました（SQLインジェクション）。

これを悪用すると、攻撃者はデータベースの任意のテーブルを読み取れます。たとえば、ログイン名とハッシュ化されたパスワードが格納されたユーザーテーブルのほか、記事や内部の設定情報も対象になります。データを書き換えるものではなく読み取りだけの操作ですが、機微な情報が外部に渡り、パスワードハッシュの解読など次の攻撃の足がかりになります。

影響を受けるのはバージョン6.0.0から10.11.0まで（10.11.0を含む）です。修正版は2026年7月9日に10.11.1として公開されました。この脆弱性にはCVE-2026-56292が割り当てられています。

自分のサイトは影響を受けますか？ – 確認方法

管理画面へのログイン
Joomlaの管理画面にログインします。
バージョンの確認
拡張機能›管理›管理を開き、AcyMailingで絞り込んでバージョンを確認します。
バージョンの判定
バージョンが6.0.0～10.11.0の範囲にあれば、対応が必要です。安全なのは10.11.1以降です。
リスクの評価
読み取りによる攻撃は、目に見える痕跡をほとんど残しません。未対策のまま運用していた期間が長い場合は、パスワードハッシュがすでに外部へ渡ったものとして対応してください。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ

アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。

更新センターの表示
システム›更新›拡張機能へ進み、更新を確認をクリックします。
AcyMailingのアップデート
AcyMailingの項目を選択し、10.11.1以降へアップデートします。
バージョンの確認
アップデート後、新しいバージョンが適用されていることを確認します。

手動インストール（代替手段）

更新が表示されない場合は、AcyMailingのアカウントからパッケージをダウンロードし、拡張機能›管理›インストールから導入してください。

安全なバージョンをダウンロード

公式の入手先： via AcyMailing. 必要な最低バージョン： AcyMailing 10.11.1以降.

すでに攻撃を受けている場合は？

すでに読み取られたデータは、アップデートでは取り戻せません

アップデートによってこれ以上のアクセスは止まりますが、すでに行われた読み取りをなかったことにはできません。未対策のまま運用していた期間がある場合は、念のためすべてのパスワード（Joomlaのユーザー、特に管理者）を変更し、有効なログインセッションを終了させ、可能であればJoomlaのシークレットキーを再生成してください。あわせて、ユーザー一覧に見覚えのないアカウントがないかを確認してください。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。