悪用が確認されたJoomla拡張機能の脆弱性、組織に警告

脅威アクターが、BalbooaフォームおよびiCagendaというJoomla拡張機能に存在する深刻な脆弱性を悪用していることが判明しました。この脆弱性は、認証を経ていない攻撃者によるリモートコード実行(RCE)を可能にするものです。

Balbooaの脆弱性はCVE-2026-56291(CVSSスコア10)として追跡されており、同拡張機能のフロントエンド添付ファイルアップロードエンドポイントに存在する、未認証での任意ファイルアップロードの問題であると説明されています。

Balbooa Formsバージョン2.4.1は7月9日にリリースされ、この不具合への修正パッチが適用されましたが、脅威アクターがこれをゼロデイとして実際に悪用していたことが確認されています。

このセキュリティ上の欠陥は、Balbooa Formsバージョン2.4.0以前を実行しているすべてのウェブサイトに影響を及ぼしており、実際に悪用が確認されていることから、サイト管理者には早急な対応が求められます。

6月には、Joomla向けのiCagenda拡張機能でも、ファイル添付機能に同様の任意ファイルアップロード脆弱性が発見されており、CVE-2026-48939(CVSSスコア10)として追跡されています。

Balbooaの不具合と同様に、このiCagendaの脆弱性も、攻撃者が脆弱な環境にPHPコードをアップロードし、認証なしでRCEを達成することを可能にするものです。

iCagendaの開発元であるJoomliCは、このCVEが6月15日にゼロデイとして実際に悪用されていたことを確認したと報じられています。同開発元は6月15日から16日にかけて、iCagendaバージョン4.0.8および3.9.15で修正パッチを展開しました。

7月10日、米国のサイバーセキュリティ機関CISAは、これら2件のJoomla拡張機能のセキュリティ上の欠陥を既知の悪用された脆弱性(KEV)カタログに追加し、連邦政府機関に対しBOD 26-04の指針に沿って3日以内にパッチを適用するよう求めています。

BOD 26-04が適用されるのは連邦政府機関のみですが、すべての組織に対し、CISAのKEVリストを確認し、そこで特定された脆弱性にできるだけ早く対処することが推奨されます。