Helix Ultimate の重大な脆弱性：ログイン不要でメニュー改ざん、2.2.8 以降へ今すぐ更新を
安全なバージョン： Helix Ultimate 2.2.8 以降 · free download via JoomShaper
ひと目でわかる基本情報
どのような脆弱性ですか？
Helix Ultimate は JoomShaper の現行テンプレートフレームワークで、テンプレートとシステムプラグインで構成されます。標準のエンドポイント com_ajax を通じて Joomla が実行する AJAX ハンドラーを登録しており、これはまったく認証されていない訪問者に対しても動作します。バージョン 2.2.7 より前では、これらのアクションのいくつかがログインや権限を事前に確認しないまま処理を実行していました。
最も深刻なのは、未認証でメニュー設定に書き込めてしまう問題です。メニューの内容が出力前にサニタイズされていなかったため、悪意のあるスクリプトを恒久的に保存でき、それが訪問者のブラウザーで、さらには管理者のセッション内でも実行されてしまいます（保存型 XSS）。加えて、Joomla のディレクトリ内であればどこでもファイルを削除できてしまうパストラバーサルの欠陥、オープンリダイレクト、無防備なテンプレートのエクスポートがあります。
修正版は 2026年7月7日から Helix Ultimate 2.2.7 として提供されています。すべての AJAX アクションに不足していたログイン確認と権限確認を復活させ、ファイルパスの範囲を限定し、リダイレクト先を検証し、メニューの出力をサニタイズします。その直後には、小さな追加修正を加えた 2.2.8 が公開されました。更新の際は、はじめから 2.2.8 以降を適用してください。2.2.5 と 2.2.6 は存在しないため、それより古いバージョンはすべて影響を受けます。多くのサイトでは、いまだに 2.1 系、場合によっては 1.1 系が動いています。CVE 番号は現時点では採番されていません。
自分のサイトは影響を受けますか？ – 確認方法
- 管理画面を開く
Joomla の管理画面にログインします（アドレスの末尾が
/administratorになっています）。 - 拡張機能の管理を開く
拡張機能›管理›管理を開き、
Helix Ultimateで絞り込みます。 - バージョンを確認する
インストールされているバージョンを確認します。2.2.8 より前であれば更新してください。2.2.7 より前のバージョンは、いつ悪用されてもおかしくない状態です。
- 痕跡を確認する
メニューとメガメニューの設定に、自分で追加した覚えのないリンクやスクリプトがないかを確認します。あわせて、ユーザー一覧に見覚えのないスーパーユーザーがいないかも確認してください。
脆弱性を塞ぐ手順
- アップデート画面を開く
システム›更新›拡張機能を開き、更新を確認をクリックします。
- Helix Ultimate の構成要素をすべて更新する
表示される Helix Ultimate の項目はすべて 2.2.8 以降に更新してください（システムプラグインとテンプレート、場合によってはテンプレートインストーラー）。いずれか 1 つだけでは不十分です。
- 結果を確認する
最後に、どの項目にも 2.2.8（またはそれ以降）が表示されていることを確認します。
公式の入手先： free download via JoomShaper. 必要な最低バージョン： Helix Ultimate 2.2.8 以降.
すでに攻撃を受けている場合は？
.htaccess、index.html）が残っているか、テンプレートスタイルの設定が変更されていないか。何かが見つかった場合は、まず証拠を保全し、そのうえでサイト全体をクリーンアップし、すべてのパスワードとシークレットキーを変更してください。サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。
出典 & 参考リンク
- 詳細な分析 – Website-Bereinigung.de背景とクリーンアップの手順
- 最初の報告 – mySites.guru脆弱性を確認したアドバイザリ
- Joomla Vulnerable Extensions List (VEL)コミュニティが運営する脆弱な拡張機能の一覧
最終的には、各開発元の公式発表が優先されます。本ページは、公開されている情報を中立的な立場で整理したものです。
Supporters of this site
htprotect.org is a free, vendor-independent information service. It is supported by:
Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.
fc-hosting.de
Specialised in cleaning, maintaining and securing Joomla and WordPress websites.
website-bereinigung.deSupport this project
You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.
Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.
Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.
bauschildundservice.deProfessional IT support from Czechia – Windows management, domain administration and web hosting.
defendersoft.cz
Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.
onlineweg.de
Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.
criadero.deIT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.
jahnedv.de
Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.
isari-consult.de