脆弱性

SP Page Builderに重大なゼロデイ脆弱性：ログイン不要のRCEとSQLインジェクション、6.8.0で修正

緊急悪用確認済みCVE: 出典記事には記載がありません

今すぐ対応を

SP Page Builderを直ちに6.8.0へ更新してください。このゼロデイ脆弱性はすでに実際の攻撃で悪用されています。

安全なバージョンをダウンロードアップデート手順へ

安全なバージョン： SP Page Builder 6.8.0（6.6.2では不十分です） · via JoomShaper (account required)

ひと目でわかる基本情報

対象の拡張機能

SP Page Builder – ページビルダー、コンポーネントcom_sppagebuilder

開発元

JoomShaper

脆弱性の種類

認証不要のファイルアップロード（asset.uploadCustomIcon関数がログインもファイル種別も検証していなかった）→ リモートコード実行（RCE）

影響を受けるバージョン

6.7.1以下のすべてのバージョン（脆弱性は2件：ファイルアップロードは6.6.1まで、SQLインジェクションは6.7.1まで）

安全なバージョン

SP Page Builder 6.8.0（6.6.2では不十分です）ダウンロード

深刻度

緊急 · 悪用確認済み

CVE

出典記事には記載がありません

Joomlaとの互換性

Joomla 4 / 5 / 6

更新日／公開日

2026年6月16日現在

どのような脆弱性ですか？

JoomShaperのSP Page Builderは、Joomlaで最も広く使われているページビルダーの一つです。asset.uploadCustomIcon関数は、ログインもファイル種別も検証していませんでした。そのため、ログインなしで不正なコードをアップロードして実行できる状態でした（リモートコード実行／RCE）。

影響を受けるのは6.7.1までの6.x系すべてのバージョンです。ファイルアップロードの問題に加えて、別の脆弱性が新たに判明しました。「もっと見る」のエンドポイントを突く、ログイン不要のSQLインジェクション（CVE-2026-65876）で、データベースの内容を読み取られる状態でした。先の緊急アップデート6.6.2で塞がれたのはアップロードだけで、安全なのは6.8.0からです。重大なゼロデイ脆弱性に分類されており、すでに実際の攻撃で悪用されています。

攻撃を受けたサイトによく見られる痕跡は、隠されたスーパーユーザーアカウント（末尾が@secure.localのメールアドレスなど）と、複数のPHPバックドアです。アップデートで塞がるのは入口だけで、すでに作られた侵入経路は取り除くまで残り続けます。拡張機能を無効化するだけでは防げません。

自分のサイトは影響を受けますか？ – 確認方法

管理画面を開く
Joomlaの管理画面にログインします。
バージョンを確認する
拡張機能›管理›管理を開き、「SP Page Builder」で絞り込みます。
バージョンを判定する
バージョンが6.7.1以下であれば、そのサイトは攻撃を受ける状態です。安全なのは6.8.0です。
侵入の痕跡を確認する
@secure.localのアドレスを持つスーパーユーザーがいないか、また見覚えのない.phpファイルがないかを確認します（images/…/fonts/配下や/media/内のusers.phpなど）。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ

アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。

更新画面を開く
システム›更新›拡張機能を開き、更新を確認をクリックします。
SP Page Builderを更新する
一覧からSP Page Builderの項目を選び、6.8.0以降へ更新します。
バージョンを確認する
6.8.0以降がインストールされていることを確認します。

手動インストール（代替手段）

joomshaper.comからパッケージをダウンロードし、拡張機能›管理›インストールから導入する方法もあります。重要：古いファイルを書き戻さないでください。

安全なバージョンをダウンロード

公式の入手先： via JoomShaper (account required). 必要な最低バージョン： SP Page Builder 6.8.0（6.6.2では不十分です）.

すでに攻撃を受けている場合は？

すでに悪用されています – アップデートだけでは不十分です

この脆弱性を突かれたサイトには、隠されたスーパーユーザーアカウントと複数のPHPバックドアが残されます。これらを個別に取り除き、すべてのパスワードを変更したうえで、アップロード用のフォルダーを保護してください（例：そこでのPHP実行を禁止する.htaccessを設置する）。拡張機能を無効化するだけでは防げません。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。