Joomla 拡張 JCE (Joomla Content Editor) の不正アクセス制御（未認証で PHP アップロード・実行）

Critical（CVSS 9.8）に分類されるWidget Factory (JCE) JCE editor extension for Joomlaの脆弱性です。Joomla 用の人気エディタ拡張 JCE (Joomla Content Editor) のアクセス制御不備。未認証ユーザーが新しいエディタプロファイルを作成でき、最終的に PHP コードのアップロードと実行に至る。サイト乗っ取りにつながる重大な欠陥で、CISA KEV に登録され実際の悪用が確認されている。ベンダーはセキュリティ更新と、旧バージョン向けの無償パッチを公開している。

Joomla 管理画面の拡張機能マネージャから JCE を最新のセキュリティ修正版へ更新するのが基本方針。旧 Joomla で最新版に上げられない場合はベンダー提供の無償パッチを適用する。更新まで暫定で、当該拡張のフロント側エンドポイントを WAF で遮断し、不審な PHP ファイルの新規作成を監視・除去する。

Widget Factory (JCE) JCE editor extension for Joomla を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://www.joomlacontenteditor.net/news/jce-security-update-and-a-free-patch-for-older-sites）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/19 です。推奨される対応: ベンダー指示に従い緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。