SECUBELL事件レポートJOOMLA-EXTENSIONS-KEV-2026/SUMMARY
Joomla 拡張機能（JCE 等）の悪用された脆弱性（2026年6〜7月）
Web サイトの CMS「Joomla」の拡張機能 JCE は、2026-06-03 の 2.9.99.5 で、認証なしにエディタの設定を作らせて実行ファイルを上げられる重大な脆弱性を修正しました。開発元は、悪用が進んでおり、悪用のための情報も公開されているとしています。また、更新しても既に侵害されたサイトは元に戻らないとしています。
CVE-2026-48907CVE-2026-48908CVE-2026-56290一次情報 3 件確認 2026-10-29
- 分類
- 脆弱性
- CVE
- CVE-2026-48907CVE-2026-48908CVE-2026-56290CVE-2026-56291CVE-2026-48939
- 出典
- Widget Factory（JCE）・NIST NVD・CISA
- 公開日
- 2026-06-03
- 作成日
- 2026-06-03
- 版
- 2026-10-29
- 確からしさ
- 一次情報 3件・確認日 2026-10-29・食い違いなし
- 文書番号
- JOOMLA-EXTENSIONS-KEV-2026/SUMMARY
事件の要点
何が起きたか
Web サイトの CMS「Joomla」の拡張機能 JCE は、2026-06-03 の 2.9.99.5 で、認証なしにエディタの設定を作らせて実行ファイルを上げられる重大な脆弱性を修正しました。開発元は、悪用が進んでおり、悪用のための情報も公開されているとしています。また、更新しても既に侵害されたサイトは元に戻らないとしています。[1]
Page Builder CK 3.6.0 未満と Balbooa Forms 2.4.1 未満には、認証不要の任意ファイルのアップロードによる遠隔コード実行の脆弱性があります。SP Page Builder と iCagenda にも、任意ファイルのアップロードにより PHP を実行される脆弱性があります。米国 CISA は 2026年6〜7月にこれら 5 件を既知の悪用リスト（KEV）へ追加しました。[2][3][4]
確認すべき点
- 自社・委託先の Web サイトで Joomla を使っているか
- JCE・SP Page Builder・Page Builder CK・Balbooa Forms・iCagenda のどれを入れているか、版はいくつか
- 更新に加えて、既に侵害されていないかを確認したか
この要点は s1, s2, s3, s4 の公表をもとにしています（確認日 2026-10-29）。[1][2][3][4]
原典
- [1]Widget Factory（JCE）「JCE Security Update and a Free Patch for Older Sites」https://www.joomlacontenteditor.net/news/jce-security-update-and-a-free-patch-for-older-sites
- [2]NIST NVD「CVE-2026-56290」https://nvd.nist.gov/vuln/detail/CVE-2026-56290
- [3]NIST NVD「CVE-2026-56291」https://nvd.nist.gov/vuln/detail/CVE-2026-56291
- [4]CISA「Known Exploited Vulnerabilities Catalog（JSON フィード, catalogVersion 2026.10.28）: CVE-2026-48907, CVE-2026-48908, CVE-2026-56290, CVE-2026-56291, CVE-2026-48939」https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json