「Joomla」向け編集ツール「JCE」、脆弱性悪用に注意

米当局は、コンテンツマネジメントシステムの「Joomla」向けに提供されている編集支援ツール「Joomla Content Editor（JCE）」の脆弱性が悪用されているとして注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年6月16日、「悪用が確認された脆弱性カタログ（KEV）」へ「CVE-2026-48907」を追加したもの。

アクセス制御の不備に起因する脆弱性で、認証を必要とすることなくエディタのプロファイルをあらたに作成してPHPコードをアップロードし、実行することが可能となる。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは最高値となる「10.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同ツールを提供するWidget Factoryでは、現地時間2026年6月3日にアップデートとなる「同2.9.99.5」で脆弱性を修正。追加のセキュリティ対策を実施した「同2.9.99.6」を同月6日にリリースしている。

CISAは、米行政機関に対して現地時間6月19日までに脆弱性への対策を実施するよう求めている。また脆弱性は広く悪用されるおそれがあり、利用者は注意が必要。

（Security NEXT - 2026/06/17 ）ツイート