OrdaSoft Joomla CCK の未認証ファイルアップロードによるRCE（CVSS 10.0・8.3.16 で修正）

情報取得日: 2026/09/30・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-102427
製品	OrdaSoft / OrdaSoft Joomla CCK（com_os_cck）1.0.0〜8.3.15
CVSS	10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
種別 (CWE)	CWE-434 危険な種類のファイルの無制限アップロード
登録／公開日	2026/09/30
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-102427

概要

Joomla 用のコンテンツ構築拡張 OrdaSoft Joomla CCK（コンポーネント名 `com_os_cck`）で、**未認証の攻撃者が PHP ファイルをアップロードして任意のコードを実行できる**欠陥（CWE-434）。CVE を採番したのは Joomla! Project（CNA）で、対象は **1.0.0〜8.3.15**、NVD の影響範囲は「8.3.16 未満」。 **原因**（CVE の記述）: アップロード処理 `site/uploader.php` は、フロントエンドの通常のルーティング（`task=getContent`）から届き、そこまでの経路に認証もアクセス制御も無い。ファイルの中身は画像かどうかを先頭バイト（MIME）で確かめているが、保存するファイルの拡張子を制限する許可リストがソース上でコメントアウトされていた。このため、画像の先頭バイトの後ろに PHP を付けたファイルを `.php` の名前で送ると検査を通り、Joomla の公開ディレクトリ配下に置かれて PHP として実行される。 **評価値**: NVD の CVSS 3.1 は **10.0**（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。Joomla! Project の CVSS 4.0 も **10.0** で、悪用状況の項目は `E:A`（攻撃あり）になっている。一方、CISA の SSVC 評価は悪用「none」で、2026年10月9日時点で CISA KEV には収載されていない。GitHub には第三者の PoC が公開されている。同じ拡張の 8.3.16 未満には、未認証の SQL インジェクション（CVE-2026-102428）も別に報告されている。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 / Lightsail 上に自分で構築した Joomla は、OrdaSoft Joomla CCK を 8.3.16 以上へ更新する（無料版の現行配布は 8.3.17 Light）。AWS 側の対処では直らない。 AWS WAF を使っている場合は、`com_os_cck` の `task=getContent` へのリクエストを拒否するルールを暫定策にできる（公式の緩和策ではない）。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine / GKE 上の Joomla は、OrdaSoft Joomla CCK を 8.3.16 以上へ更新する。コンテナで運用している場合はイメージを作り直す。 Cloud Armor で `com_os_cck` の `task=getContent` を拒否するのは暫定策で、更新の代わりにはならない。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM / App Service 上の Joomla は、OrdaSoft Joomla CCK を 8.3.16 以上へ更新する。 Application Gateway の WAF でのリクエスト拒否は暫定策で、更新の代わりにはならない。参照リンク
Linux	パッチあり（アプリ更新）	Joomla の拡張なので、Linux ディストリビューションのパッケージ更新では直らない。Joomla 管理画面から OrdaSoft Joomla CCK を 8.3.16 以上へ更新する。 Apache / nginx で `images/` 配下の PHP 実行を禁止しておくと、同種のアップロード欠陥の被害を抑えられる。参照リンク

解決の方向性（パッチ／回避策／代替）

**OrdaSoft Joomla CCK を 8.3.16 以上へ更新する。** CVE の影響範囲は 8.3.15 までで、8.3.16 が最初の修正版という扱いになっている。ただし OrdaSoft の公式サイトには 8.3.16 の変更履歴やセキュリティ告知が見当たらず、Joomla の Vulnerable Extensions List にも本件の掲載は確認できなかった（2026年10月9日時点）。 **ベンダーの現行配布物**: 公式の無料版ダウンロード（Joomla CCK free）で配布中のパッケージ（`pkg_os_cck_light_8_3_2026_10_04`）は、マニフェスト上 **8.3.17 Light**（2026年10月）で、`site/uploader.php` の拡張子の許可リスト（jpg / jpeg / png / gif / webp）が有効になっている。PRO 版の修正版の版番号は公開情報で確認できないため、購入者ページか OrdaSoft に問い合わせて確認する。 **影響を受けるかの確認**: Joomla 管理画面の「拡張機能 → 管理」で OS CCK（`com_os_cck`）の版を見る。8.3.15 以下なら対象。 **更新までのつなぎ**（公式の回避策ではなく一般的な措置）: 使っていなければ拡張を無効化またはアンインストールする。使い続ける場合は、Web サーバや WAF で `option=com_os_cck` かつ `task=getContent` へのリクエストを拒否し、`images/` 配下で PHP が実行されないよう設定する。 **侵害の確認**: 現行版のコードでは保存先が `images/com_os_cck<ID>/original/` と `thumbnail/` なので、`images/` 配下に見覚えのない `.php` などのファイルが無いか、アクセスログに `com_os_cck` の `getContent` への POST が無いかを確認する。見つかった場合は改ざんを前提に、Joomla の管理者アカウントとデータベースの認証情報を入れ替える。

よくある質問（CVE-2026-102427）

CVE-2026-102427（OrdaSoft Joomla CCK）の影響は？

Critical（CVSS 10.0）に分類されるOrdaSoft OrdaSoft Joomla CCK（com_os_cck）1.0.0〜8.3.15の脆弱性です。Joomla 用のコンテンツ構築拡張 OrdaSoft Joomla CCK（コンポーネント名 `com_os_cck`）で、**未認証の攻撃者が PHP ファイルをアップロードして任意のコードを実行できる**欠陥（CWE-434）。CVE を採番したのは Joomla! Project（CNA）で、対象は **1.0.0〜8.3.15**、NVD の影響範囲は「8.3.16 未満」。 **原因**（CVE の記述）: アップロード処理 `site/uploader.php` は、フロントエンドの通常のルーティング（`task=getContent`）から届き、そこまでの経路に認証もアクセス制御も無い。ファイルの中身は画像かどうかを先頭バイト（MIME）で確かめているが、保存するファイルの拡張子を制限する許可リストがソース上でコメントアウトされていた。このため、画像の先頭バイトの後ろに PHP を付けたファイルを `.php` の名前で送ると検査を通り、Joomla の公開ディレクトリ配下に置かれて PHP として実行される。 **評価値**: NVD の CVSS 3.1 は **10.0**（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。Joomla! Project の CVSS 4.0 も **10.0** で、悪用状況の項目は `E:A`（攻撃あり）になっている。一方、CISA の SSVC 評価は悪用「none」で、2026年10月9日時点で CISA KEV には収載されていない。GitHub には第三者の PoC が公開されている。同じ拡張の 8.3.16 未満には、未認証の SQL インジェクション（CVE-2026-102428）も別に報告されている。

CVE-2026-102427 の対応方法・回避策は？

自分の環境が CVE-2026-102427 の影響を受けるか確認するには？

OrdaSoft OrdaSoft Joomla CCK（com_os_cck）1.0.0〜8.3.15 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-102427）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。