CVE-2026-48907: Joomla Content Editor (JCE) 認証なしRemote Code Execution

HTML版レポート

概要

影響を受けるソフトウェア

JCEはJoomlaエコシステムで最も人気のあるエディター拡張機能であり、mysites.guruによれば最もインストール数の多いJoomla拡張機能の一つ。

技術詳細

脆弱性の概要

本脆弱性はJCEのプロファイルインポートエンドポイントに存在する:

/index.php?option=com_jce&task=profiles.import

3つの独立した脆弱性が連鎖してRCEに至る。いずれか1つでも欠ければ連鎖は断たれる。

1. インポートアクションにおける認可チェックの欠如

• 欠陥: JceControllerProfiles::import() はCSRFトークンチェックのみに依存していた。
• 影響: Factory::getUser() や $user->authorise(...) による認可検証が一切存在しない。CSRFトークンはJoomlaの公開ページから隠しフィールド/JS変数経由で容易に取得可能。
• 結果: 有効なCSRFトークンを持つ任意の呼び出し元がエンドポイントを実行可能。

2. ファイル拡張子検証の欠如

• 欠陥: JceModelProfile::import() は File::makeSafe() を使用するが、これはファイルシステムの不正文字(スペース、NULLバイト、シェルメタ文字)を除去するだけで、拡張子の検証は行わない。
• 影響: nuclei-deadbeef.xml.php のようなファイル名はそのまま通過する。Apacheの mod_php は最後の認識可能な拡張子(.php)に基づいて実行する。
• 許可される拡張子: .php, .php5, .phtml, .xml.php

3. 安全でないアップロードフラグの有効化

• 欠陥: File::upload() が明示的に $allow_unsafe = true で呼び出されていた。
• 影響: Joomla内部の拡張子ブラックリスト(.php, .php3〜.php7, .phtml, .exe等)が無効化される。ファイルは実行可能な拡張子付きのまま tmp/ に配置される。

攻撃フロー

1. 攻撃者が公開JoomlaページからCSRFトークンを取得
2. profiles.import に対して細工されたマルチパートリクエストを送信(武器化されたPHPファイルを「プロファイルアップロード」として)
3. ファイルが tmp/ ディレクトリに配置される
4. 攻撃者がアップロードされたファイルに対して直接HTTPリクエストを送り実行をトリガー
5. 結果: 認証不要・ユーザー操作不要でRCE達成(3回のHTTPリクエストで完了)

根本原因の分類

攻撃の必要条件

PoC/Exploitの状況

PoCの動作原理

PoCは以下のステップで動作する:

1. ターゲットJoomlaサイトの公開ページからCSRFトークンを抽出
2. com_jce&task=profiles.import エンドポイントに対してPHPペイロードを含むマルチパートフォームデータを送信
3. アップロードが「プロファイルインポート」として処理され、ファイルが tmp/ に一時配置される
4. 配置されたPHPファイルにHTTPアクセスしてコマンド実行を確認

PoCレスポンス例:

{"success":true,"message":"","messages":{"info":["0 Profile(s) imported successfully"]},"data":{"redirect":"/index.php/component/jce?view=profiles"}}

インポート自体は失敗(0 Profile(s))してもファイルは tmp/ に配置されたままとなる。

実被害・インシデント

• CISA KEVカタログ登録 (2026年6月16日): CVE-2026-48907はCISAのKnown Exploited Vulnerabilities Catalogに登録された。
• 悪用確認済み: CISAは「actively exploited」(積極的に悪用中)と明記。
• 連邦機関向け緊急パッチ要件: CISAは連邦機関に対して即時パッチ適用を義務付け、民間ディフェンダーにも優先対応を勧告。
• 攻撃窗口: 脆弱性公開からKEV登録までわずか11日。
• JCE公式警告: 「公開、自動化的悪用コードが存在する。公開ユーザー登録がないサイトも安全ではない」

検出方法

ブラックボックステスト

ホワイトボックステスト

実サイト影響確認手順

手順1: JCEのインストール確認

# JCEのエンドポイントが存在するか確認
curl -s -o /dev/null -w "%{http_code}" "https://<target>/index.php?option=com_jce"
# 200 → JCEインストール済み、404 → 未インストール

判定基準: 200ならJCE存在、次に手順2へ。404なら影響なし。

手順2: バージョン確認

# JCEのバージョン情報ページにアクセス
curl -s "https://<target>/administrator/components/com_jce/jce.xml" | grep version

判定基準: ≤ 2.9.99.4 なら脆弱。≥ 2.9.99.6 ならパッチ済み。

手順3: tmp/ディレクトリの公開アクセス確認

# tmp/ディレクトリが公開アクセス可能か確認
curl -s -o /dev/null -w "%{http_code}" "https://<target>/tmp/"
# 200 → 公開アクセス可能、403/404 → アクセス制限済み

判定基準: 200なら公開アクセス可能。403/404なら制限済みだが、脆弱性自体は存在。

手順4: コンプロマイズの確認

• サーバーログ確認: index.php?option=com_jce&task=profiles.import への認証なしリクエストを検索
• アップロードディレクトリ検査: images/, media/, tmp/ 内の不審な .php ファイルを確認
• JCEプロファイル検査: 管理画面で見知らぬプロファイル(特に自動生成名、最上位に配置)を確認

判定マトリックス

対策

恒久的対策

暫定対策 / サーバーハードニング

Apache設定例 (tmp/でのPHP実行禁止)

<Directory "/path/to/joomla/tmp">
    <FilesMatch "\.php$">
        Require all denied
    </FilesMatch>
</Directory>

Nginx設定例 (tmp/でのPHP実行禁止)

location /tmp/ {
    location ~ \.php$ {
        deny all;
    }
}

コンプロマイズ後の復旧手順 (JCE公式より)

1. 証拠保全: 疑わしいプロファイルと悪意あるファイルを変更前にコピー(フォレンジック用)
2. パッチ適用: JCE 2.9.99.6+ に即時アップデート
3. クリーンアップ: 不正プロファイルと関連アップロードファイルを削除
4. 認証情報ローテーション: Joomla管理者、DB、ホスティング、FTPのパスワードを変更
5. フルスキャン: Imunify等のサーバーサイドマルウェアスキャンを実行
6. バックアップからの復元: 初期侵入より前のバックアップから復元

修正パッチ詳細

【クローズドソース製品のため、コードレベルのdiff分析は不可。JCE公式セキュリティアドバイザリに基づく。】

v2.9.99.5+ の修正内容 (2026年6月3日)

v2.9.99.6 の追加ハードニング (2026年6月6日)

再現環境

PoCリポジトリにdocker-compose設定が含まれている。

参考資料

公式情報源

• NVD
• CVE.org
• GitHub Advisory (GHSA-c3f5-4g7f-qjqj)
• CISA KEV
• JCE公式セキュリティアップデート
• JCE Changelog

技術分析

• YesWeHack解説
• Tenable
• ASEC Advisory
• mysites.guru 独立分析

PoC/Exploit

• GitHub PoC (webshellseo8)
• Educational PoC (Sploitus)

レポート作成日: 2026-06-18 13:49 JST
調査担当: Hermes Agent

• 2026-06-26

脆弱性情報（NVD）

• 深刻度: 緊急（CVSS 9.8）
• CVSSベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CWE: CWE-284
• EPSS: 80.42%（上位 0.4%）

影響を受けるバージョン:

• Widgetfactorylimited Jce: < 2.9.99.5

概要（日本語）: Joomla 用 JCE エディタ拡張機能に脆弱性があり、未認証ユーザーが新たなエディタプロファイルを作成し、最終的に PHP コードのアップロードと実行が可能になります。

原文: A vulnerability in the JCE editor extension for Joomla allows the creation of new editor profiles for unauthenticated users, ultimately resulting in PHP code upload and execution.

VulnCheck KEV

• 製品: Widget Factory Joomla Content Editor
• CISA KEV 掲載: ✅ あり
• ランサムウェア悪用: Unknown

PoC / Exploit

• initial-access: GitHub(webshellseo8/CVE-2026-48907-Unauthenticated-RCE-in-JCE) / VulnCheck XDB
• initial-access: GitHub(ywh-jfellus/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(87achrafg-stack/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(HORKimhab/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(wearehackers160/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(sec0x/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(0xgh057r3c0n/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(gh1mau/masta-cve-2026-48907) / VulnCheck XDB
• initial-access: GitHub(grayxploit/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(xitexploiter96-dot/CVE-2026-48907-) / VulnCheck XDB
• initial-access: GitHub(Almavj/Joomla_CVE_2026_48907) / VulnCheck XDB
• initial-access: GitHub(K3ysTr0K3R/CVE-2026-48907) / VulnCheck XDB
• initial-access: GitHub(pssec-io/CVE-2026-48907) / VulnCheck XDB

悪用事例

• 2026-06-12
• 2026-06-15
• 2026-06-16
• 2026-06-19
• 2026-06-23

参考リンク

• www.joomlacontenteditor.net Release Notes Vendor Advisory
• www.joomlacontenteditor.net Product
• www.cisa.gov US Government Resource