Joomla の危険な拡張子リストに SHTML が無く、アップロードからコード実行に至りうる（CVSS 9.8）

Critical（CVSS 9.8）に分類されるJoomla Joomla! Core。NVD の該当範囲は 1.0.0 以上 5.4.8 未満、および 6.0.0 以上 6.1.3 未満（アドバイザリの表記は 1.0.0-5.4.7 / 6.0.0-6.1.2）。修正版は 5.4.8 と 6.1.3の脆弱性です。Joomla! Core の**危険なファイル拡張子の既定リストに SHTML が含まれていなかった**。アドバイザリ 20260810 の記述は「The default list of dangerous files did not include SHTML files. On servers that executed these files, that could lead to code execution.」であり、**SHTML を実行する設定のサーバでは、アップロードからコード実行に至りうる**という条件付きの欠陥である。 **SHTML は Server Side Includes（SSI）のファイルである。** Apache の `mod_include` が有効で、かつ `Options +Includes`（または `+IncludesNOEXEC`）と `AddOutputFilter INCLUDES .shtml` のような設定が効いている環境では、`.shtml` の中に書かれた `<!--#include -->` や `<!--#exec -->` が**サーバ側で解釈される**。`#exec` が許されている構成なら、これはそのまま任意コマンド実行になる。つまり**この CVE の実害は Web サーバ側の設定に依存する**。`mod_include` を有効にしていない一般的な LAMP 構成や、nginx + PHP-FPM の構成では SSI は解釈されないため、アップロードされた `.shtml` は静的ファイルとして返るだけである。 **CVSS 3.1 基本値は 9.8**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、NVD が Primary として付けた値である。**この 9.8 は「SHTML を実行するサーバ」という前提を織り込んでいない最悪値**として読むべきである。実環境での深刻度は、まず自分のサーバが SSI を有効にしているかで大きく変わる。ただし **PR:N（事前の権限不要）** が付いている点は軽く見ないほうがよい。Joomla ではメディアマネージャのアップロードに権限が要るが、フォーム系の拡張機能や投稿機能で未認証アップロードを許している構成は珍しくなく、その経路では権限なしで到達しうる。 **該当範囲が Joomla 1.0.0 からという点が特徴である。** これは「この判定漏れが長期にわたって存在していた」ことを意味し、古い版を動かし続けているサイトはすべて対象になる。 一次情報は Joomla の Security Centre のアドバイザリ **[20260810] Core - Unrestricted uploads of SHTML files** である。**KEV には 2026-09-12 時点で収載されていない**（CISA KEV カタログ 2026.09.11 で確認）。

**修正版は 5.4.8 と 6.1.3 である。** NVD の CPE は 5.4.8 未満と 6.1.3 未満を該当としているので、**5.x 系なら 5.4.8 以降、6.x 系なら 6.1.3 以降**へ上げる。Joomla の管理画面（システム → 更新 → Joomla の更新）からワンクリックで上げられるが、テンプレートと拡張機能の互換性があるため、メジャーを跨ぐ更新（5→6）はこの CVE の対応としては不要である。**自分の系列の最新パッチ版に上げるのが最短の対応である。** **上げる前に、自分のサーバが SHTML を実行するかを確認する。** これで緊急度が変わる。Apache なら次の2点を見る。(1) `mod_include` が読み込まれているか（`apachectl -M | grep include`）。(2) `.shtml` に対する出力フィルタが設定されているか（`grep -R "INCLUDES\|Includes" /etc/apache2/ /etc/httpd/`）。**どちらも無ければ、この CVE で任意コード実行に至る経路は成立しない**（それでも危険拡張子リストの不足そのものは塞ぐべきなので更新は行う）。nginx の場合は `ssi on;` が設定されていないかを見る。 **すぐに上げられない場合の暫定策は、サーバ側で `.shtml` の実行と提供を止めることである。** Apache なら Joomla のアップロード先（既定は `images/`）に対して `Options -Includes` を明示し、`<FilesMatch "\.shtml$">` で `Require all denied` を置く。nginx なら `location ~ \.shtml$ { return 403; }` を入れる。**Joomla 側の設定でメディアマネージャの許可拡張子から shtml を外すだけでは足りない**場合がある。判定漏れは「危険リスト」側にあり、許可リストを使っていない経路（拡張機能のアップロード処理）が残るからである。 **更新後はアップロード先を実際に確認する。** `images/` 配下と、拡張機能が使うアップロードディレクトリを対象に、`find . -name '*.shtml'` で身に覚えのないファイルを探す。見つかった場合は中身の `<!--#exec` / `<!--#include` を確認し、アクセスログで当該 URL への到達があったかを突き合わせる。**到達があったなら、コード実行を前提に管理者アカウント・拡張機能の追加・データベース内容の点検まで広げる。** **版の確認は管理画面の表示だけに頼らないほうがよい。** `libraries/src/Version.php` の定数（`MAJOR_VERSION` / `MINOR_VERSION` / `PATCH_VERSION`）を直接見れば、更新が実ファイルに届いているかを確かめられる。

Joomla Joomla! Core。NVD の該当範囲は 1.0.0 以上 5.4.8 未満、および 6.0.0 以上 6.1.3 未満（アドバイザリの表記は 1.0.0-5.4.7 / 6.0.0-6.1.2）。修正版は 5.4.8 と 6.1.3 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-73373）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。