Joomla Content Editor（JCE）1.0.0から2.9.99.4には、未認証の攻撃者が新しい編集プロファイルを作成し、最終的にPHPファイルをアップロードして実行できるCVE-2026-48907があります。Joomla CNAはCVSS v4.0 10.0 CRITICAL、Exploit MaturityをATTACKEDと評価しています。
脆弱性の概要と影響範囲
影響範囲はJCE 1.0.0〜2.9.99.4です。JCE公式のセキュリティ更新案内で、現在の修正版または古いサイト向け公式パッチを確認してください。ホームページや検索結果だけを根拠に修正版番号を推測しません。
⚠ CVE Score — 最高危険度 / CRITICAL
10CRITICALCVSS v4.0CVE-2026-48907
この脆弱性が悪用されると、攻撃者はJoomlaサイトの完全な侵害が可能となります。CISAは、この脆弱性が積極的に悪用されていることを示す証拠があるとして、既知の悪用されている脆弱性（KEV）カタログに追加しました。
具体的な影響・攻撃シナリオ
攻撃者は認証なしで新しいJCE編集プロファイルを作成し、最終的にPHPコードをアップロードして実行できます。成功するとJoomlaサイトと、Webサーバー実行ユーザーがアクセスできるデータの機密性・完全性・可用性が損なわれます。具体的なHTTP経路やペイロードは防御に不要なため掲載しません。
エンジニアが今すぐ取るべき対策
修正版または公式パッチを適用し、編集プロファイル、Joomla管理者、アップロード済みPHP、不審な拡張機能、Webサーバーログを確認します。侵害が疑われる場合は資格情報を交換し、既知の安全な状態から復旧します。汎用Webサーバールールを公式パッチの代替にしないでください。
📦Amazon で関連書籍・ツールを検索
サーバーセキュリティ WAF クラウド
Amazonで探す →（アソシエイトリンク）