HTProtect.org
Joomlaの脆弱性を伝える独立系の情報サイト
JA
HTProtect HTProtect JOOMLA SECURITY
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
htprotect.org 脆弱性情報 & アップデート手順
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
脆弱性

iCagendaに重大な脆弱性 – Joomla 6で認証不要のファイルアップロード、4.0.8で修正

緊急CVE-2026-48939
今すぐ対応を
iCagendaを4.0.8へアップデートしてください（Joomla 3では3.9.15）。
安全なバージョンをダウンロード アップデート手順へ

安全なバージョン： iCagenda 4.0.8（Joomla 3は3.9.15） · free download

ひと目でわかる基本情報

対象の拡張機能
iCagenda（イベントカレンダー）
開発元
iCagenda
脆弱性の種類
イベント投稿フォームのログイン確認の欠落（未ログインの訪問者でもイベントを登録可能）。Joomla 6では認証不要のファイルアップロードにつながる重大な脆弱性
影響を受けるバージョン
iCagenda 3.2.1～4.0.7
安全なバージョン
iCagenda 4.0.8（Joomla 3は3.9.15）   ダウンロード
深刻度
緊急
CVE
CVE-2026-48939
Joomlaとの互換性
Joomla 3 / 4 / 5 / 6
更新日／公開日
公開：2026年6月15日

どのような脆弱性ですか？

iCagendaは、イベントカレンダーとして広く使われているJoomlaの拡張機能です。イベントを投稿するフォームには実質的なログイン確認がなく、登録ユーザー専用のつもりで設置していても、ログインしていない訪問者がイベントを登録できてしまいました。Joomla 6（6.0.0～6.1.1）では、これを足がかりにファイルのアップロードまで実行できるため、この環境ではとくに重大な脆弱性となります。ほかのJoomlaバージョンではアップロードには至りません。

影響を受けるのはiCagenda 3.2.1～4.0.7です（3.2.1より前のバージョンは対象外です）。修正版は2026年6月15日にiCagenda 4.0.8として公開され、Joomla 3向けにはiCagenda 3.9.15（2026年6月16日）も用意されています。この脆弱性はCVE-2026-48939として登録されています。

アップロードされたファイルは、通常images/icagenda/frontend/配下に保存されます。.htaccessでこのフォルダー内のPHPの実行を禁止しておけば安全性は高まりますが、それはあくまで補助的な対策であり、アップデートの代わりにはなりません。

対応は時間との勝負です
技術的な詳細が公開されると、この種の脆弱性は数時間のうちに自動スキャンの標的になるのが通例です。できるだけ早くアップデートしてください。

自分のサイトは影響を受けますか？ – 確認方法

  1. 管理画面にログイン

    Joomlaの管理画面にログインします。

  2. iCagendaのバージョンを確認

    拡張機能›管理›管理を開き、「iCagenda」で絞り込みます。

  3. バージョンを判定

    バージョンが3.2.1から4.0.7の範囲にある場合は対応が必要です。Joomla 6ではこの脆弱性は重大です。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ
アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。
  1. 更新センターを開く

    システム›更新›拡張機能へ進み、更新を確認をクリックします。

  2. iCagendaを更新

    iCagendaの項目を選択し、更新をクリックします（対象バージョンは4.0.8、Joomla 3では3.9.15）。

  3. バージョンを確認

    4.0.8（Joomla 3では3.9.15）以降がインストールされていることを確認します。

手動インストール（代替手段）
パッケージをicagenda.comからダウンロードし、拡張機能›管理›インストールから導入する方法もあります。重要：古いバックアップファイルを書き戻さないでください。バージョン4.0.8（Joomla 3では3.9.15）をクリーンにインストールしてください。
安全なバージョンをダウンロード

公式の入手先： free download. 必要な最低バージョン： iCagenda 4.0.8（Joomla 3は3.9.15）.

すでに攻撃を受けている場合は？

すでに攻撃を受けたサイトは、アップデートだけでは不十分です
images/icagenda/frontend/フォルダーに見覚えのないファイルがないか確認してください。改ざんが確認された場合は、手順を踏んだ駆除が必要です。不審なファイルを個別に削除するだけでは足りません。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。

出典 & 参考リンク

最終的には、各開発元の公式発表が優先されます。本ページは、公開されている情報を中立的な立場で整理したものです。

すべての脆弱性一覧へ
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de