脆弱性

Astroid Frameworkに深刻なRCE脆弱性：認証不要のファイルアップロードで改ざんの恐れ

緊急悪用確認済みCVE-2026-21628

今すぐ対応を

Astroidを3.3.13以降に更新してください。改ざんの疑いがある場合は、あわせてサイトの駆除も必要です。

安全なバージョンをダウンロードアップデート手順へ

安全なバージョン： Astroid 3.3.13以降 · direct download (GitHub, open source)

ひと目でわかる基本情報

対象の拡張機能

Astroid Framework（テンプレートフレームワーク）

開発元

TemPlaza

脆弱性の種類

認証不要のファイルアップロード → リモートコード実行（RCE）。公開されているログインページから読み取れるCSRFトークンを悪用します。

影響を受けるバージョン

Astroid 2.0.0～3.3.10

安全なバージョン

Astroid 3.3.13以降ダウンロード

深刻度

緊急 · 悪用確認済み

CVE

CVE-2026-21628

Joomlaとの互換性

Joomla 4 / 5 / 6

更新日／公開日

2026年3月11日現在

どのような脆弱性ですか？

Astroid Frameworkは、数多くのJoomlaテンプレートのベースとなっているテンプレートフレームワークです。この脆弱性を突かれると、攻撃者は認証なしでサーバーにファイルをアップロードできます。悪用されるのは、誰でも閲覧できるログインページから読み取れるCSRFトークンです。最悪の場合、サーバー上で任意のコードを実行されます（リモートコード実行／RCE）。

影響を受けるのは2.0.0から3.3.10までのバージョンです。この脆弱性はCVE-2026-21628として登録されています。修正はバージョン3.3.11で行われましたが、3.3.13以降への更新を推奨します。

重要：すでに攻撃を受けたあとでは、バージョンを上げるだけでは不十分です。実際の事例では、ドロッパーと呼ばれるファイル（例：blp_9948.php）を足がかりに、BLPayloadやJCacheProといったバックドア型のプラグインが後から設置されていました。これらはアップデートしても残り続けます。

自分のサイトは影響を受けますか？ – 確認方法

管理画面にログイン
Joomlaの管理画面にログインします。
Astroidのバージョンを確認
インストールされているバージョンは、テンプレートの管理画面（システム›テンプレート）で確認できます。拡張機能›管理›管理を開き、「Astroid」で絞り込む方法もあります。
バージョンを判定
バージョンが2.0.0から3.3.10の範囲にある場合は、早急な対応が必要です。
バックドアの有無を確認
/plugins/system/にBLPayloadやJCacheProのような不審な項目がないか、またblp_*.phpというパターンに一致するファイルがないかを確認してください。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ

アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。

更新画面へ移動
システム›更新›拡張機能を開き、更新を確認をクリックします。
Astroidを更新
一覧からAstroidの項目を選び、3.3.13以降に更新します。
新しいバージョンを確認
更新後、新しいバージョンが正しく反映されているかを確認します。

手動インストール（代替手段）

Astroid/TemPlazaのアカウントからパッケージをダウンロードし、拡張機能›管理›インストールから手動でインストールする方法もあります。

安全なバージョンをダウンロード

公式の入手先： direct download (GitHub, open source). 必要な最低バージョン： Astroid 3.3.13以降.

すでに攻撃を受けている場合は？

改ざんされている場合、アップデートだけでは不十分です

アップデートしても、すでに設置された不正なコードが自動的に取り除かれるわけではありません。BLPayload/JCacheProといったプラグインや、ドロッパーファイル（blp_*.php）が残っていないか確認してください。その場合に必要となるのは、サイト全体の駆除、すべてのパスワードの変更（Joomla管理者、FTP/SSH、データベース）、そしてGoogle Search Consoleでの確認です。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。