Tassos/Novarain Framework の重大な脆弱性（CVSS 9.5）と Joomla の更新手順
安全なバージョン： Tassos Framework 6.0.62 以降 · via Tassos account
ひと目でわかる基本情報
plg_system_nrframeworkcom_ajax を経由した未認証の AJAX 呼び出しによるファイルおよびデータベースへのアクセス。攻撃ツールも一般に公開済みどのような脆弱性ですか？
Tassos Framework は、かつて Novarain Framework と呼ばれていたシステムプラグイン（plg_system_nrframework）で、複数の人気拡張機能に共通の土台として組み込まれています。com_ajax を経由すると認証なしで AJAX リクエストを送信でき、ファイルの読み取りや削除、データベースへのアクセスなどが行える状態でした。
この脆弱性（CVE-2026-21627）は CVSS 9.5（10 点満点）と評価され、深刻度は「重大」です。攻撃ツールもすでに一般に公開されています。影響を受けるのは、フレームワークのバージョン 4.10.14 ～ 6.0.37 です。
特に影響を受けるのは、Convert Forms、EngageBox、Google Structured Data、Advanced Custom Fields、Smile Pack、そして MailChimp Auto-Subscribe といった拡張機能です。いずれも同じフレームワークを土台にしているため、そのうちどれか 1 つを更新すれば、フレームワークも一緒に更新されます。
拡張機能ごとの安全な最低バージョン
| 拡張機能 | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
これらの拡張機能のいずれかを更新したあとは、Tassos Framework が 6.0.62 以降と表示されている必要があります。
自分のサイトは影響を受けますか？ – 確認方法
- 管理画面を開く
Joomla の管理画面にログインします。
- フレームワークを確認する
システム›プラグインを開き、
Tassos Frameworkを検索します。あるいは、/plugins/system/nrframework/nrframework.phpとnrframework.xmlの各ファイルを直接確認します。 - バージョンを判定する
フレームワークのバージョンが 4.10.14 ～ 6.0.37 の範囲にあれば、そのサイトは脆弱な状態です。安全なのは 6.0.62 以降です。
脆弱性を塞ぐ手順
- 更新画面を開く
システム›更新›拡張機能を開き、更新を確認をクリックします。
- Tassos の拡張機能を 1 つ更新する
インストール済みの Tassos の拡張機能のうち、どれか 1 つを上の表に示した最低バージョンまで更新します。フレームワークも同時に更新されます。
- 更新結果を確認する
システム›プラグインで、「Tassos Framework」が 6.0.62 以降と表示されていることを確認します。
公式の入手先： via Tassos account. 必要な最低バージョン： Tassos Framework 6.0.62 以降.
すでに攻撃を受けている場合は？
サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。
出典 & 参考リンク
- 詳細な分析 – Website-Bereinigung.de影響を受ける拡張機能、バージョン、クリーンアップ
- CVE-2026-21627 (CVE.org)CVE の公式レコード
- Tassos（開発元）アップデートの入手先
最終的には、各開発元の公式発表が優先されます。本ページは、公開されている情報を中立的な立場で整理したものです。
Supporters of this site
htprotect.org is a free, vendor-independent information service. It is supported by:
Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.
fc-hosting.de
Specialised in cleaning, maintaining and securing Joomla and WordPress websites.
website-bereinigung.deSupport this project
You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.
Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.
Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.
bauschildundservice.deProfessional IT support from Czechia – Windows management, domain administration and web hosting.
defendersoft.cz
Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.
onlineweg.de
Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.
criadero.deIT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.
jahnedv.de
Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.
isari-consult.de