HTProtect.org
Joomlaの脆弱性を伝える独立系の情報サイト
JA
HTProtect HTProtect JOOMLA SECURITY
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
htprotect.org 脆弱性情報 & アップデート手順
新登場 htprotect.app - 複数のJoomlaサイトを一元管理
緊急対応

Webサイトが訪問者を勝手に別のサイトへ転送する - 今すべきこと

お客さまから、賭博サイトやスパムサイトに飛ばされるという連絡が入ります。ところが、ご自身でサイトを開くと表示はいつもどおりです。これは誤報ではありません。この手口は、もともとそのように動くよう作られています。

ご自身に見えないことは、何の証拠にもなりません
攻撃者は、侵入の痕跡をサイト運営者に対しては意図的に隠します。Googleはこれをクローキングと呼び、この手口にだまされないよう明確に注意を促しています。ご自身で再現できない場合でも、お客さまからの報告は真剣に受け止めてください。

.htaccessファイル - あって当然のファイルであり、狙われやすい場所

Joomlaのルートディレクトリに.htaccessファイルがあること自体は、珍しいことではありません。Joomlaにはあらかじめ用意されたhtaccess.txtが同梱されています。Joomla自身の説明によれば、よくある攻撃を防ぐための記述と、検索エンジンに適したURLを実現するための記述が入っており、通常はこれを.htaccessにリネームして使います。ここから二つのことが言えます。第一に、マニュアルはhtaccess.txtを編集しないよう明記しています。Joomlaのアップデートで上書きされることがあるためで、作業はリネーム後のファイルで行います。第二に、Sucuriは2019年に、見つけたすべての.htaccessファイルへ自らのリダイレクト記述を書き込むように作られた不正スクリプトの事例を、Joomlaサイトで確認したと報告しています。つまり、ファイルを1つきれいにしたからといって、サイトが無事だということにはなりません。

こうしたコードはどこに潜んでいるのか

Sucuriは、Joomlaサイトの駆除手順の中で典型的な潜伏先を挙げています。index.phpのようなファイルや、/components、/modules、/templatesといったディレクトリに送り込まれるバックドア、そして本物のJoomlaファイルと同じ名前でありながら、本来とは違うディレクトリに置かれているファイルです。2026年4月のJoomlaの事例では、そのコードはサイトのindex.phpのいちばん先頭にありました。さらに、ごく普通のJoomlaプラグインを装って居座り、難読化したJavaScriptをページに挿入するマルウェアもあります。Sucuriはこれをphp.spam-seo.joomla-injector.002という名称で登録しています。ここから、実務上のポイントが二つ見えてきます。見覚えのないプラグインは念入りに確認すること、そしてテンプレートのファイルはFTPもコマンドラインも使わずに、管理画面のシステム›サイトのテンプレートからそのまま確認できることです。

多くの場合は問題のないもの

Joomlaは本体に独自のリダイレクト機能を備えています。システム - リダイレクトプラグインが存在しないページへのアクセスを収集し、リダイレクトコンポーネントがそれらを既存のページへ振り向けます。ここに登録があるのは通常の運用です。したがって、このコンポーネントにリダイレクトが並んでいること自体は、攻撃を受けた証拠にはなりません。

コアファイルの入れ替え - それでも手が届かない範囲

Joomlaは、コマンドラインを使わずに自分のコアファイルを入れ替えられます。アップデート用のコンポーネントにはJoomla! コアファイルの再インストール（英語表記は「Reinstall Joomla! core files」）というボタンがあり、すべてのコアファイルを再インストールして、壊れたファイルや欠落しているファイルを修復するものと説明されています。これに頼る前に、その範囲を知っておいてください。この説明が対象としているのは、あくまでコアファイルだけです。拡張機能、テンプレート、あとからサーバーに置かれたファイル、そしてデータベースは含まれません。テンプレートやプラグインに仕込まれたバックドアは、これを実行しても手つかずのまま残ります。

駆除は作業の半分にすぎません
侵入口が開いたままであれば、同じことが数日のうちにまた起こります。Joomla本体とすべての拡張機能を更新し、導入済みの拡張機能を公式の脆弱な拡張機能の一覧と突き合わせてください。

出典 & 参考リンク

最終的には、各開発元の公式発表が優先されます。本ページは、公開されている情報を中立的な立場で整理したものです。