HTProtect.org
Joomlaの脆弱性を伝える独立系の情報サイト
JA
HTProtect HTProtect JOOMLA SECURITY
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
htprotect.org 脆弱性情報 & アップデート手順
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
脆弱性

JCE（JoomlaContentEditor）の重大な脆弱性 – 認証不要のファイルアップロード、悪用を確認

緊急 悪用確認済みCVE: 個別のCVE番号は割り当てられていません
今すぐ対応を
JCEを直ちに2.9.99.5（推奨は2.9.99.6）へアップデートしてください。この脆弱性はすでに悪用されています。
安全なバージョンをダウンロード アップデート手順へ

安全なバージョン： JCE 2.9.99.5（推奨は2.9.99.6） · JCE Core free · Pro with account

ひと目でわかる基本情報

対象の拡張機能
JCE Editor – Free & Pro、コンポーネントcom_jce
開発元
JoomlaContentEditor
脆弱性の種類
アクセス制御の不備 → 認証不要で任意のファイルをアップロード（エディタープロファイル経由）
影響を受けるバージョン
2.9.99.5より前のすべてのバージョン（FreeおよびPro）
安全なバージョン
JCE 2.9.99.5（推奨は2.9.99.6）   ダウンロード
深刻度
緊急 · 悪用確認済み
CVE
個別のCVE番号は割り当てられていません
Joomlaとの互換性
Joomla 3 / 4 / 5 / 6
更新日／公開日
修正版：2026年6月3日 · 追加リリース2.9.99.6：2026年6月8日

どのような脆弱性ですか？

JCE（JoomlaContentEditor）は、Joomlaで最も広く使われているエディターの一つです。開発元は原因をアクセス制御の不備と説明しています。未認証の利用者がエディタープロファイルをアップロードし、それを介して任意のファイルをサーバー上に配置できる状態でした。

影響を受けるのは2.9.99.5より前のすべてのバージョンで、JCE FreeとJCE Proの両方が対象です。しかも公開ユーザー登録が有効かどうかにかかわらず影響を受けます。修正版は2026年6月3日に2.9.99.5として公開され、全面的なセキュリティ監査を経て、2026年6月8日にバージョン2.9.99.6がリリースされました。

この脆弱性はすでに悪用されています。攻撃者はこれを利用してWebシェルを設置します。ログインが不要なため、ユーザー登録を開放していないサイトも危険です。特に、ランダムな名前が付いたエディタープロファイルや、「Public」に割り当てられたエディタープロファイルは疑わしいと考えてください。（JCEは過去にも、2011年から2012年にかけて大規模な攻撃の標的となりました – CVE-2012-2902。）

自分のサイトは影響を受けますか？ – 確認方法

  1. 管理画面へのログイン

    Joomlaの管理画面にログインします。

  2. JCEのバージョン確認

    コンポーネント›JCE Editorを開きます。バージョン番号はこの画面に表示されます。

  3. バージョンの判定

    バージョンが2.9.99.5より前であれば、直ちに対応が必要です。

  4. エディタープロファイルの点検

    JCEのエディタープロファイルに、ランダムな名前の項目やPublicに割り当てられた項目がないかを確認します。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ
アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。
  1. 更新センターの表示

    システム›更新›拡張機能へ進み、更新を確認をクリックします。

  2. JCEのアップデート

    JCEの項目を選択し、更新をクリックします（対象バージョンは2.9.99.5 / 2.9.99.6）。

  3. バージョンの確認

    コンポーネント›JCE Editorで、新しいバージョンが有効になっていることを確認します。

手動インストール（代替手段）
パッケージをjoomlacontenteditor.netからダウンロードし、拡張機能›管理›インストールから導入する方法もあります。JCE Proのサブスクリプションが期限切れの場合は？無償のJCE Core（Free）に切り替えるか、サブスクリプションを更新するかのいずれかを選べます。重要なのは、少なくとも2.9.99.5に到達することだけです。
安全なバージョンをダウンロード

公式の入手先： JCE Core free · Pro with account. 必要な最低バージョン： JCE 2.9.99.5（推奨は2.9.99.6）.

すでに攻撃を受けている場合は？

すでに悪用されています – サイトを点検してください
この脆弱性はすでにWebシェルの設置に悪用されているため、アップデート後に、送り込まれたファイルや不審なエディタープロファイルがないかを重点的に確認してください。アップデートは脆弱性そのものを塞ぎますが、すでに設置されたバックドアは取り除けません。少しでも疑わしい場合は、専門業者による駆除を依頼し、パスワードを変更してください。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。

出典 & 参考リンク

最終的には、各開発元の公式発表が優先されます。本ページは、公開されている情報を中立的な立場で整理したものです。

すべての脆弱性一覧へ
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de