Joomlaの最大深刻度脆弱性CVE-2026-48907が悪用、未認証でPHP実行・CISAが緊急パッチ命令

「うちのサイト、Joomlaで作ってるけど大丈夫なんでしゅか？」
「パッチって言われても、何をどう急げばいいか分からないんでしゅ……」

チップス

最大深刻度って聞くだけで、もう心臓に悪いんでしゅ……。

ボス

落ち着け、チップス。仕組みと急所さえ押さえれば、やることは絞れる。順に見ていくぞ。

本記事では、Joomlaの拡張機能JCEで見つかった脆弱性CVE-2026-48907について、危険な理由といま取るべき対応を整理します。

読み終える頃には、自社サイトが危険かを見極め、最短で守る手順がつかめます。

CVE-2026-48907とは何か

まず何が起きているのかを整理します。

最大深刻度CVSS 10.0、すでに自動攻撃が進行中

脆弱性はJoomlaの人気エディター拡張「JCE（Joomla Content Editor）」に存在し、深刻度はCVSS 10.0と満点です。
不適切なアクセス制御が原因で、攻撃者は認証なしに新しいエディタープロファイルを作り、PHPコードをアップロードして実行できます。
影響を受けるのはバージョン1.0.0から2.9.99.4までで、6月初旬に公開されたJCE Pro 2.9.99.6で修正されました。
開発元は、すでに悪用が確認され、動作するエクスプロイトコードも公開されていると認めています。

脆弱性の概要は以下のとおりです。

チップス

10点満点って、テストならうれしいのに、これは最悪でしゅ……！

ボス

そうだな。満点は「誰でも、確実に、乗っ取れる」という意味だ。笑えない点数だな。

なぜ危険か、いま管理者がやるべきこと

危険の中身と、急ぐべき対応を見ていきます。

未認証でPHPを実行できる怖さ

一番の問題は、ログインを必要とせずに攻撃が成立する点です。
本来は権限のある利用者しか触れない「エディタープロファイルの作成」を、外部の第三者が悪用できてしまいます。
そこからPHPファイルを置かれると、ウェブシェルを設置されてサイトを丸ごと操作される恐れがあります。
攻撃は自動化されているため、会員登録を開いていない小さなサイトでも無差別に狙われます。

放置した場合に起こりうることは次のとおりです。

いま管理者がやるべきこと

対応の優先順位ははっきりしています。
まず修正版へ更新し、そのうえで侵入の痕跡を確認します。
CISAは、パッチを当てても侵害済みのサイトはきれいにならないと注意しています。
更新と並行して、不審なファイルやアカウントの調査まで行うことが大切です。

取るべき手順は以下のとおりです。

チップス

更新して終わり、じゃないんでしゅね。中身も見ないと危ないでしゅか。

ボス

そのとおりだ。鍵を替えても、すでに合鍵を作られていたら意味がない。痕跡の確認まで含めて対応だ。

まとめ：更新と痕跡確認までが対応

CVE-2026-48907は、未認証でPHPを実行できるCVSS 10.0の脆弱性で、すでに自動化された攻撃が広がっています。
JCEを使っているなら、まず2.9.99.6以降へ更新するのが最優先です。
そのうえで、侵害済みのサイトはパッチだけでは元に戻らない点を忘れず、痕跡の確認まで進めてください。
こうした緊急対応の最前線で力を発揮したい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。

参考: BleepingComputer「CISA orders feds to patch max severity Joomla plugin flaw by Friday」