注目★★★★★CISA KEV
Joomla の SP Page Builder に認証なしでPHPコード実行される脆弱性、CISA が強制対応指定
30秒で把握
- 1Joomla プラグイン SP Page Builder に認証なし任意ファイルアップロード脆弱性、CVSS 9.8
- 2PHP コード実行で機密性・完全性・可用性が全破壊、CISA 強制対応カタログに登録
- 3対応期限は 2026 年 7 月 10 日・ベンダーパッチ適用またはプラグイン削除が必須
要約
JoomShaper の Joomla プラグイン「SP Page Builder」に認証なしで任意ファイルをアップロードし PHP コードを実行できる脆弱性 (CVE-2026-48908) が発見され、CISA の強制対応カタログに登録された。CVSS 3.1 は 9.8 (Critical) で、ネットワーク経由の攻撃により機密性・完全性・可用性が全破壊される。対応期限は 2026 年 7 月 10 日で、ベンダー指示に従った緊急パッチ適用またはサービス停止が必須。
あなたへの影響
Joomla の SP Page Builder を運用中のサイト・組織は 7 月 10 日までに ベンダーパッチを適用するか、あるいはプラグインを即時無効化 / 削除して動作確認を今週中に完了させる必要がある。
推奨：インターネット公開の管理画面や CMS 管理ユーザーの権限棚卸しも並行して実施すべき。