HTProtect.org
Joomlaの脆弱性を伝える独立系の情報サイト
JA
HTProtect HTProtect JOOMLA SECURITY
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
htprotect.org 脆弱性情報 & アップデート手順
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
脆弱性

AcyMailingに認証不要のSQLインジェクション脆弱性：任意のテーブルとパスワードハッシュが読み取り可能

緊急CVE-2026-56292
今すぐ対応を
AcyMailingを直ちに10.11.1以降へアップデートしてください。未対策のまま運用していた期間がある場合は、あわせてすべてのパスワードを変更してください。
安全なバージョンをダウンロード アップデート手順へ

安全なバージョン： AcyMailing 10.11.1以降 · via AcyMailing

ひと目でわかる基本情報

対象の拡張機能
AcyMailing – ニュースレター配信コンポーネント（com_acym）
開発元
Acyba
脆弱性の種類
公開されたフロントエンドのエンドポイントを悪用する認証不要のSQLインジェクション。ログインなしでデータベースの任意のテーブル（ユーザーアカウント、パスワードハッシュ、コンテンツ）を読み取られます
影響を受けるバージョン
バージョン6.0.0から10.11.0まで（10.11.0を含む）
安全なバージョン
AcyMailing 10.11.1以降   ダウンロード
深刻度
緊急
CVE
CVE-2026-56292
Joomlaとの互換性
Joomla 3 / 4 / 5
更新日／公開日
公開・修正日：2026年7月9日

どのような脆弱性ですか？

AcyMailing（com_acym）は、Joomlaでニュースレターやメール配信キャンペーンを管理するコンポーネントです。誰でも、つまりログインなしで到達できるフロントエンドのエンドポイントが、渡されたパラメータを検証しないままSQLクエリに組み込んでいたため、クエリそのものを外部から操作できてしまいました（SQLインジェクション）。

これを悪用すると、攻撃者はデータベースの任意のテーブルを読み取れます。たとえば、ログイン名とハッシュ化されたパスワードが格納されたユーザーテーブルのほか、記事や内部の設定情報も対象になります。データを書き換えるものではなく読み取りだけの操作ですが、機微な情報が外部に渡り、パスワードハッシュの解読など次の攻撃の足がかりになります。

影響を受けるのはバージョン6.0.0から10.11.0まで（10.11.0を含む）です。修正版は2026年7月9日に10.11.1として公開されました。この脆弱性にはCVE-2026-56292が割り当てられています。

自分のサイトは影響を受けますか？ – 確認方法

  1. 管理画面へのログイン

    Joomlaの管理画面にログインします。

  2. バージョンの確認

    拡張機能›管理›管理を開き、AcyMailingで絞り込んでバージョンを確認します。

  3. バージョンの判定

    バージョンが6.0.0～10.11.0の範囲にあれば、対応が必要です。安全なのは10.11.1以降です。

  4. リスクの評価

    読み取りによる攻撃は、目に見える痕跡をほとんど残しません。未対策のまま運用していた期間が長い場合は、パスワードハッシュがすでに外部へ渡ったものとして対応してください。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ
アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。
  1. 更新センターの表示

    システム›更新›拡張機能へ進み、更新を確認をクリックします。

  2. AcyMailingのアップデート

    AcyMailingの項目を選択し、10.11.1以降へアップデートします。

  3. バージョンの確認

    アップデート後、新しいバージョンが適用されていることを確認します。

手動インストール（代替手段）
更新が表示されない場合は、AcyMailingのアカウントからパッケージをダウンロードし、拡張機能›管理›インストールから導入してください。
安全なバージョンをダウンロード

公式の入手先： via AcyMailing. 必要な最低バージョン： AcyMailing 10.11.1以降.

すでに攻撃を受けている場合は？

すでに読み取られたデータは、アップデートでは取り戻せません
アップデートによってこれ以上のアクセスは止まりますが、すでに行われた読み取りをなかったことにはできません。未対策のまま運用していた期間がある場合は、念のためすべてのパスワード（Joomlaのユーザー、特に管理者）を変更し、有効なログインセッションを終了させ、可能であればJoomlaのシークレットキーを再生成してください。あわせて、ユーザー一覧に見覚えのないアカウントがないかを確認してください。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。

出典 & 参考リンク

最終的には、各開発元の公式発表が優先されます。本ページは、公開されている情報を中立的な立場で整理したものです。

すべての脆弱性一覧へ
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de