OWN NEWS GATHER
← 戻る
cve

Joomlaのページ作成機能「Page Builder CK」に深刻な脆弱性　CISAが実際の悪用を確認し緊急対応を呼びかけ

要点

  • Joomla!用拡張機能「Page Builder CK」に、認証不要で任意のファイルをアップロードできる脆弱性（CVE-2026-56290）が判明しました。

  • 悪用されると、攻撃者によって実行可能ファイルをアップロードされ、サーバー上で任意のコードを実行される（RCE）恐れがあります。

  • 深刻度を示すCVSSスコアは、v4.0で最大値「10.0」、v3.1で「9.8」といずれも「CRITICAL」と極めて高い評価となっています。

  • 米CISAは現地時間2026年7月7日、本脆弱性の実際の悪用を確認し「悪用が確認されている脆弱性カタログ（KEV）」に追加しました。

  • 影響対象はバージョン3.6.0以下で、現地時間7月10日までの速やかなパッチ適用や使用停止が求められています。

  • Joomla!のウェブサイト構築向け拡張機能「Page Builder CK」において、認証不要で任意のファイルをアップロード可能になる深刻な脆弱性（CVE-2026-56290）が検出されました。米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間2026年7月7日、この脆弱性を「悪用が確認されている脆弱性カタログ（KEV）」に追加。実際の悪用が確認されたため、同庁は対象組織に対して現地時間2026年7月10日までの迅速な対応を呼びかけています。

  • 検出された脆弱性「CVE-2026-56290」は、Joomla!のページ作成用拡張機能「Page Builder CK」に存在します。共通脆弱性タイプ一覧のCWE（Common Weakness Enumeration、ソフトウェアの弱点を分類するための共通識別子）では、危険なファイルを制限なくアップロードできる状態を示す「CWE-434（危険なタイプのファイルの無制限アップロード）」に分類されています。

  • この脆弱性の最大のリスクは、ログインなどの認証を受けていない第三者が、サーバー上に直接実行可能ファイルをアップロードできる点にあります。この実行可能ファイルがアップロードされて実行されると、攻撃者は遠隔から任意のコマンドを処理できる「リモートコード実行（RCE）」が可能になります。その結果、最終的にはサーバー全体の制御権を奪取される恐れがあるとのことです。

  • 本脆弱性の深刻度は極めて高く評価されています。深刻度を数値化する業界標準規格であるCVSS（共通脆弱性評価システム）のバージョン4.0においては、Joomla! Project（CNA: CVE採番機関）による評価で、ベーススコアの最高値となる「10.0 CRITICAL（緊急）」が割り当てられました。また、旧基準であるCVSS v3.1においても、米国国立標準技術研究所（NIST）の初期分析によって「9.8 CRITICAL」と算出されており、いずれの評価基準においても最悪の被害をもたらし得る極めて危険なレベルの脆弱性であると判定されています。

  • CISAは本脆弱性をKEVカタログに追加したことに伴い、連邦政府機関などの関係組織に対し、現地時間2026年7月10日までにベンダーの指示に従って修正を適用することを求めています。具体的な要求事項として、リスクに基づくセキュリティアップデートの優先順位付けに関する指令「BOD 26-04」や「BOD 22-01」、およびCISAが定める「フォレンジック・トリアージ要件」への準拠が挙げられています。もし適切な修正パッチが適用できない環境である場合は、製品自体の使用を中止することが義務付けられており、インターネットに露出している自組織の資産評価と迅速な対処が求められています。

  • 公開された変更履歴によると、本脆弱性の評価は短期間で深刻化していった経緯が見て取れます。もともと2026年6月29日時点の評価では、実際の悪用は確認されていませんでした。しかし、7月2日にNISTが初期分析を行って深刻度を「9.8」と評価し、影響を受ける対象製品が「Page Builder CKのバージョン3.6.0以下」であることを特定。7月5日には脆弱性の弱点分類が「CWE-434」へ更新され、7月7日にCISAが悪用ステータスを「active（アクティブに悪用されている）」へ引き上げて同日中にKEVカタログへ追加しました。これにより、わずか数日の間にステータスが緊急対策案件へと変化したことが示されています。

  • 本脆弱性に関する情報や修正方法はいくつかのルートで公開されています。開発元であるJoomlackは、公式サイト（ https://www.joomlack.fr/ ）を案内しているほか、公式フォーラム（ https://forum.joomlack.fr/index.php/page-builder-ck/21627-nouvelle-version-de-pbck-et-joomla-3 ）において「PBCKの新しいバージョンとJoomla 3」に関するスレッドを立ち上げ、パッチ情報や問題の追跡を行っています。さらに、サードパーティのセキュリティブログ「MySites.guru」（ https://mysites.guru/blog/pagebuilderck-unauthenticated-file-upload-rce/ ）でも、本脆弱性のエクスプロイト（攻撃実証コードや手法）や詳細な分析が紹介されており、攻撃手法がすでに一般に公開されている状態であるため、迅速なアップデートなどの対応が不可欠だとしています。

元URL