Joomlaのフォーム作成拡張機能「Balbooa Forms」に深刻な脆弱性「CVE-2026-56291」が判明、CISAが緊急警告
要点
- Joomlaの拡張機能「Balbooa Forms」に、深刻なファイルアップロードの脆弱性「CVE-2026-56291」が確認された。
- 認証不要で実行可能ファイルをアップロードでき、遠隔からシステムが乗っ取られる「リモートコード実行（RCE）」につながる恐れがある。
- 深刻度を示すCVSSスコアはバージョン4.0で最大値「10.0」、バージョン3.1で「9.8」といぜれも「緊急（CRITICAL）」と評価されている。
- 米国CISAは本脆弱性が実際に悪用されている事実を受け、「既知の悪用された脆弱性（KEV）カタログ」へ追加し、迅速な対応を求めている。
- 影響を受けるのはバージョン「2.4.1未満」のシステムで、関係者には2026年7月13日までの対策適用が求められている。
リード
Joomlaの拡張機能「Balbooa Forms」において、極めて深刻な脆弱性「CVE-2026-56291」が検出された。本脆弱性は2026年7月9日に新規登録され、翌日には実際の悪用が確認された脆弱性として警告が更新されている。悪用された場合、攻撃者によって任意のプログラムが実行され、システム全体が乗っ取られる恐れがあるという。
脆弱性の内容と影響範囲
今回特定された脆弱性「CVE-2026-56291」は、「危険なタイプのファイルの無制限アップロード」に該当する欠陥（CWE-434）である。
対象は、Joomla（Webサイト構築管理システム）のWebサイトで問い合わせフォームなどを追加・作成する拡張機能（追加プログラム）「Balbooa Forms」だ。本拡張機能には、認証されていない第三者がサーバー上に任意のファイルをアップロードできる問題が存在する。アップロードされたファイルが実行可能ファイルの場合、遠隔からシステム上で任意のコマンドを実行される「リモートコード実行（RCE）」に至る危険性があるという。
影響を受けるのは、同拡張機能のバージョン「2.4.1未満」の構成とされている。
深刻度の評価と指標
本脆弱性は、Joomla! Projectや米国国立標準技術研究所（NIST）により、極めて高い深刻度スコアが割り当てられている。
Joomla! Project（CNA）が算出した「CVSS（脆弱性の深刻度を評価するシステム）バージョン4.0」における深刻度スコアは、最大値となる「10.0（緊急：CRITICAL）」である。評価ベクトル（脆弱性の特徴を示す文字列）は「CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/AU:Y/U:Red」で、特別な権限やユーザー操作なしでシステム全体に致命的な影響を及ぼすことを示している。
また、NISTが分析した「CVSSバージョン3.1」においても、基本スコアは「9.8（緊急：CRITICAL）」に達しており、評価ベクトル「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H」が示すように、機密性、完全性、可用性の全てにおいて最大レベル of 被害が発生する可能性が指摘されている。
悪用状況の推移とCISAによる対応要請
本脆弱性はすでに攻撃者による悪用が確認されている。
対応優先度を判断するSSVC（ステークホルダー脆弱性分類）での悪用状況は、7月9日の登録当初は「なし（none）」だったが、翌10日には「アクティブ（active）」へ更新された。当初から「自動化可能」は「はい」、「技術的影響」は「全体」で、攻撃の容易性が示されていた。
これを受け、米国CISA（サイバーセキュリティ・インフラセキュリティ庁）は7月10日に本脆弱性を「既知の悪用された脆弱性（KEV）カタログ」（実際に攻撃に悪用されている脆弱性のリスト）に登録した。
CISAは対応期限を「2026年7月13日」とし、速やかな緩和策の適用を求めている。指令「BOD 26-04」や「フォレンジック・トリアージ要件」への準拠も指示し、緩和策がない場合は使用中止を求めている。関係者は各資産のインターネット露出度を評価し、パッチ適用ガイドラインを守る責任があるとしている。
情報登録と分析の流れ
本脆弱性は2026年7月9日に新規CVEとして登録され、同日にCISA-ADPによる初期評価が行われた。翌10日にはNISTによる分析で影響範囲が「バージョン2.4.1未満」と特定され、CVSS 3.1スコアが追加された。同日午後にアクティブな悪用が確認されたことを受け、CISAによるKEVカタログ登録と具体的な対応要請が実施された。