OWN NEWS GATHER
← 戻る
The Hacker News

Joomlaの人気拡張機能に深刻なゼロデイ脆弱性　CISAが緊急警告、CMSを狙う世界的な攻撃キャンペーンも進行中

要点

  • 米CISAは、Joomla向け拡張機能「iCagenda」と「Balbooa Forms」に存在する、最大深刻度の脆弱性2件を「悪用が確認された脆弱性（KEV）」カタログに追加しました。
  • いずれの脆弱性もCVSSスコアで最高値の10.0と評価されており、認証を必要としないリモートコード実行などの深刻な影響を及ぼす可能性があります。
  • セキュリティ企業により、これらの脆弱性を悪用してWebサーバー上に不正なファイルを配置するゼロデイ攻撃が実際に確認されています。
  • 各開発元はすでに修正用アップデートを公開しており、CISAは米政府機関に対し、2026年7月13日までに修正を適用するよう命じています。
  • オーストラリアのACSCは、AI技術の進化によって脆弱性の公開から悪用までの期間が劇的に短縮されているとして、多様なCMSを標的とした大規模な攻撃キャンペーンに警告を発しました。

リード文

米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年7月10日、Joomlaの拡張機能である「iCagenda」および「Balbooa Forms」に存在する2件の深刻な脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加した。これらの脆弱性は、実際に野良（イン・ザ・ワイルド）でのゼロデイ攻撃（修正プログラムなどの対策が提供される前に行われるサイバー攻撃）への悪用が報告されている。いずれの脆弱性も、共通脆弱性評価システム「CVSS」（脆弱性の深刻度を0から10の数値で評価する指標）のスコアで最高値の10.0と評価されており、速やかな対策が推奨されている。

本文

今回の警告で対象となった脆弱性は以下の2件である。

  • CVE-2026-48939：iCagendaのファイル添付機能において任意のファイルをアップロードできるため、悪意あるPHPコードのアップロードと実行を許してしまう。
  • CVE-2026-56291：Balbooa Formsにおいて任意のファイルをアップロードでき、リモートコード実行（遠隔からシステムを不正に操作できる極めて危険な状態）につながる。

WordPressやJoomlaのWebサイト管理ダッシュボードサービスを提供するmySites.guruによると、iCagendaの脆弱性（CVE-2026-48939）は2026年6月15日以降、自動化された攻撃によってゼロデイとして悪用されていたという。この脆弱性は、一般ユーザーがカレンダーにイベントを提案できる「Submit an Event（イベント送信）」フォームの機能内に存在する。

mySites.guruは、顧客サイトのアクセスログにおいて、「icagenda-batch/1.0」と名乗る自動スキャナーがトークンを取得し、送信エンドポイントに対して不正なファイルをアップロードした後、そのファイルが書き込まれた正確なパスから植え付けられたシェルファイルを読み出す挙動を観測したと報告している。

この脆弱性の影響を受けるのは、iCagendaのバージョン4.0.7までの4.x系、および3.2.1から3.9.14までのレガシーな3.x系である。開発元であるJoomliCは、すでにバージョン4.0.8および3.9.15で問題を解決するアップデートをリリースしている。サイト所有者に対しては、「images/icagenda/frontend/attachments/」フォルダ内に不審なPHPファイルが存在しないかを確認し、あれば削除することが求められている。

もう一方のBalbooa Formsの脆弱性（CVE-2026-56291）も、同様にゼロデイでの悪用が確認されている。mySites.guruが7月8日、顧客へのライブ攻撃を検知したことで発見された。この脆弱性は、バージョン2.4.0までのバージョンに影響を与え、最新の2.4.1で修正パッチが適用された。

脆弱性の原因は、フロントエンドでの添付ファイルアップロード機能における深刻な設計不備にある。ログイン認証がなく、CSRFトークン（不正なリクエスト送信を防止する使い捨ての識別データ）も不要で、さらにアップロードされるファイル形式の検証も行わずに、あらゆる匿名訪問者からのファイルを受け入れてしまう仕様になっていた。これにより、攻撃者は公開フォルダにPHPファイルをアップロードした上でそれを実行し、未認証でのリモートコード実行を容易に行うことができた。

mySites.guruは、被害の痕跡を確認するための指標（IoC）として、以下の監査を行うよう呼びかけている。

  • Balbooa Forms のアップロードフォルダ（標準設定では「images/baforms/uploads」）内に、画像や文書以外のファイル、特に拡張子が「.php」であるファイルがないか。
  • Joomlaのユーザーリストに、作成した覚えのない管理者アカウントが存在しないか。
  • サイト全体で、最近変更された見覚えのないPHPファイルがないか。

これらの脆弱性に対するアクティブな悪用事例を受け、CISAは米国の連邦市民行政機関（FCEB：国防やインテリジェンス以外の政府機関）に対し、2026年7月13日までにネットワークへの修正プログラム適用を義務づけた。

世界規模で広がるCMS脆弱性のスキャンキャンペーン

これらの個別事例と並行して、オーストラリアサイバーセキュリティセンター（ACSC）は、多様なコンテンツ管理システム（CMS）やそのプラグインの脆弱性を狙った、世界規模の攻撃キャンペーンに対する警告（アラート）を発行した。

ACSCの報告によると、攻撃者は脆弱性を悪用してWebサーバーにWebシェル（遠隔操作用の悪意あるスクリプト）を設置するため、Webサイトに対して活発なスキャンを繰り返している。これら悪用される脆弱性の多くは、未認証でのファイルアップロード、リモートコード実行、サーバーサイドリクエストフォージェリ（SSRF：外部から指示してサーバーに不正なリクエストを送信させる攻撃）、またはデシリアライゼーション（プログラム内のデータを復元する処理の不備を突く攻撃）に関わるものである。

ACSCが注意喚起している主な脆弱性には以下のものが含まれる。

  • Sneeit Framework (CVE-2025-6389)
  • WPBookit（WordPressプラグイン） (CVE-2025-7852)
  • Gravity Forms（WordPressプラグイン） (CVE-2025-12352)
  • Craft CMS (CVE-2025-32432)
  • Ninja Forms（WordPressプラグイン） (CVE-2026-0740)
  • MaxSite CMS (CVE-2026-3395)
  • Breeze Cache（WordPressプラグイン） (CVE-2026-3844)
  • WavePlayer（WordPressプラグイン） (CVE-2025-12057)
  • MetInfo CMS (CVE-2026-29014)
  • Joomla JCE (CVE-2026-48907)

ACSCは「この大規模なグローバル悪用キャンペーンは、組織が直面しているサイバーリスクが急速に進化していることを示している」と言及。特に、AI（人工知能）技術の進歩によってサイバー攻撃の速度と規模が加速されており、結果として脆弱性が公開されてから実際に悪用されるまでのタイムラグが著しく縮小していると警鐘を鳴らしている。

元URL