脆弱性

Balbooa Gridboxに7件の脆弱性：CVSS 10.0が3件、更新だけでは不十分です（2.20.2で修正）

緊急CVSS 10.0 / 10 悪用確認済みCVE-2026-65884

今すぐ対応を

Balbooa Gridboxを2.20.2以降に更新してください。そのうえで、身に覚えのないアカウントがすでに作成されていないかを確認します。

安全なバージョンをダウンロードアップデート手順へ

安全なバージョン： Balbooa Gridbox 2.20.2以降 · via Balbooa (account required)

ひと目でわかる基本情報

対象の拡張機能

Balbooa Gridbox – ページビルダー（com_gridbox）

開発元

Balbooa

脆弱性の種類

ログインなしで悪用できる複数の脆弱性：権限昇格、他人のパスワードの再設定、アカウントの乗っ取り、ファイルへのアクセス、SQLインジェクション

影響を受けるバージョン

2.20.1以下のすべてのバージョン

安全なバージョン

Balbooa Gridbox 2.20.2以降ダウンロード

深刻度

緊急 · CVSS 10.0 / 10 · 悪用確認済み

CVE

CVE-2026-65884

Joomlaとの互換性

Joomla 4 / 5 / 6

更新日／公開日

公開：2026年7月

どのような脆弱性ですか？

Balbooa Gridboxは、Balbooa Formsと同じ開発元が提供するJoomla向けのページビルダーです。2.20.1以下のバージョンでは重大な脆弱性が複数明らかになっており、そのうち7件には固有のCVE番号が割り当てられています。

3件は10点満点中10点という最高評価です。ログインなしで管理者アカウントを作成できる権限昇格（CVE-2026-65884）、他人のパスワードを自由に再設定できる脆弱性（CVE-2026-65887）、そして既存アカウントの乗っ取り（CVE-2026-65888）です。このほかに、ログイン不要でのファイルへのアクセス、SQLインジェクション、迂回できてしまう権限チェックもあります。

ここが重要な点です。これらの脆弱性では、更新するだけでは十分とは限りません。2.20.1以下のバージョンを長く使っていたサイトには、すでに勝手に作られた管理者アカウントが残っている可能性があります。更新は侵入口をふさぎますが、すでに作られたアカウントは削除するまで残り続けます。

自分のサイトは影響を受けますか？ – 確認方法

管理画面を開く
Joomlaの管理画面にログインします。
バージョンを確認
拡張機能›管理›管理を開き、「Gridbox」で絞り込みます。バージョンが2.20.1以下であれば、そのサイトは脆弱な状態です。
ユーザー一覧を確認
ユーザー›管理を開き、自分で作成した覚えのないアカウントがないかを確認します。とくに、不自然なユーザー名と使い捨てのメールアドレスの組み合わせに注意してください。すぐに削除せず、まず中身を確かめてください。
拡張機能を点検
拡張機能›管理では、プラグインの一覧にインストールした覚えのない項目がないかもあわせて確認してください。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ

アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。

更新前にバックアップ
更新する前に、ファイルとデータベースをバックアップしてください。
更新画面を開く
システム›更新›拡張機能へ進み、更新を確認をクリックします。
Gridboxを更新
一覧から該当の項目を選び、2.20.2以降に更新します。2.20.1では不十分です。
更新後：アカウントを確認
更新が完了してから、あらためてユーザー一覧を確認してください。更新前に作られたアカウントは、自動的には消えません。

手動インストール（代替手段）

更新が表示されない場合は、Balbooaのアカウントからパッケージをダウンロードし、拡張機能›管理›インストールから導入してください。

安全なバージョンをダウンロード

公式の入手先： via Balbooa (account required). 必要な最低バージョン： Balbooa Gridbox 2.20.2以降.

すでに攻撃を受けている場合は？

ここでは更新だけでは不十分です

これらの脆弱性では、更新するより前に攻撃者が居座る足がかりを作れてしまいます。ユーザー一覧に見覚えのない管理者がいないか、プラグインの一覧に不明な項目がないかを確認し、そのうえですべてのパスワードを変更し、ファイルシステムに身に覚えのないPHPファイルがないかを調べてください。更新後もアクセスの試行が続くのは通常のことです。自動化されたスキャナーは、脆弱なサイトを探し続けています。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。