Joomla向けSP Page Builderに新たな脆弱性4件、情報流出の恐れ CVE-2026-65766ほか6.7.1へ更新を

世界中のホームページ作りに使われている無料ソフト「Joomla（ジュームラ）」向けの人気ページ作成ツール「SP Page Builder」に、2026年7月、新たに4件の脆弱性（ソフトの弱点）が公表されました。うち2件はログイン不要でサイトの内部情報を抜き取られる恐れがあり、危険度は10点満点中9.2（CVE-2026-65766・CVE-2026-65876）と評価されています。すべて修正版6.7.1で直っており、いま使っている人はこのバージョンへの更新が必要です。

SP Page Builderは、少し前の2026年6月にも、ログイン不要でサーバーを丸ごと乗っ取られる危険度10.0の欠陥（CVE-2026-48908）が実際の攻撃に使われたばかりです。同じ月には別の人気ページ作成ツール「Page Builder CK」（CVE-2026-56290）でも同種の乗っ取りが起きています。この記事では、まず最新の7月の4件を解説し、続けて6月の乗っ取り欠陥（第1波）も整理します。Joomlaのページ作成ツールを狙う波が続いているため、使っているツールはこまめな更新が欠かせません。

【2026年7月・最新】SP Page Builderの新たな脆弱性4件

今回の4件は、2026年7月27日にJoomla公式のセキュリティ窓口を通じて公表されました。いずれも修正版6.7.1で解消しており、影響を受けるのは1.0.0から6.7.0までのすべての版です。まず全体像を整理します。危険度の数値は、脆弱性の深刻さを10点満点で表す国際的な指標CVSS 4.0です。

4件のうち特に危ないのは、上の2件（CVE-2026-65766・CVE-2026-65876）です。ログイン不要で成立するため、サイトが公開されている限り誰からでも狙われます。残る2件（CVE-2026-65877・CVE-2026-65878）は管理者級のログインが前提のため、単独での危険度はやや下がりますが、他の穴と組み合わされると被害を広げる材料になります。

今回の主役である「SQLインジェクション」とは、サイトの裏側にあるデータベース（会員情報や記事などをためておく倉庫）へ命令を送る仕組みに、外部から不正な命令を紛れ込ませる攻撃です。インターネットを自動でスキャンし、SP Page Builderを使うサイトを探し回る攻撃者が、並び順やカテゴリを指定する項目に細工した文字列を送り込むだけで成立します。狙いは、本来は見えないはずのデータベースの中身を引きずり出すことです。会員のメールアドレスやパスワードの手がかり、非公開の記事や設定などが抜き取られる恐れがあり、盗んだ情報は別のサービスへの不正ログインや、次の攻撃の下調べに使われます。

CVE-2026-65766: 並び順の指定からデータベースを覗かれる（無認証・9.2）

「動的コンテンツ」機能で、表示するデータの並び順（order）を指定する項目の検証が不十分でした。ログインしていない攻撃者が、この項目に不正なデータベース命令を紛れ込ませることで、内部の情報を読み出せます。分類はSQLインジェクション（CWE-89）で、CVSS 4.0は9.2（緊急）。無認証で情報流出につながる、最も優先度の高い1件です。

CVE-2026-65876: 記事の続き読み込みが抜け穴になる（無認証・9.2）

記事の続きを読み込む「loadMoreArticles」機能で、表示するカテゴリ（catid）を指定する項目に同種の検証不備がありました。こちらもログイン不要で、細工したカテゴリ指定を送るとデータベースの中身を引き出せます。CVSS 4.0で9.2（緊急）と、CVE-2026-65766と並ぶ最上位クラスの評価です。入り口が違うだけで危険度は同じため、両方まとめて塞ぐ必要があります。

CVE-2026-65878: 管理画面からサーバー上のファイルを消される（要ログイン・8.3）

画像などを扱うメディア管理機能で、ファイルの場所（パス）の確認と権限のチェックが甘く、本来触れないはずの場所のファイルまで削除できてしまう問題です。分類はパスの扱いの不備（CWE-22）で、CVSS 4.0は8.3（高）。悪用には管理者級のログインが必要ですが、成立するとサイトの重要ファイルを消されてサービスが動かなくなる恐れがあります。

CVE-2026-65877: メディア検索からデータベースを覗かれる（要ログイン・8.2）

メディア管理の検索欄と日付での絞り込み項目に、SQLインジェクションの余地がありました。悪用には管理者級のログインが必要なため、CVSS 4.0では8.2（高）と、無認証の2件よりは低い評価です。とはいえ、権限を持つ利用者アカウントが乗っ取られていれば、そこから内部情報を抜き取る足がかりになります。

対策は共通で、SP Page Builderを6.7.1以降へ更新することです。JoomShaperの公式ページから入手できます。無認証の2件がある以上、公開中のサイトほど早い適用が求められます。自分のサイトがどの拡張機能に依存しているかを洗い出す作業には、外部部品の依存関係を点検する考え方も役立ちます。なお、この7月の4件は本記事公開時点で、実際に攻撃されている欠陥のリスト（CISA KEV）には登録されていませんが、6月のCVE-2026-48908はすでに登録済みで、この製品が攻撃者に注目されているのは確かです。

【2026年6月・第1波】相次いだ乗っ取りの欠陥の概要

ここからは、7月の4件に先立って2026年6月に起きた「乗っ取り」の欠陥（第1波）を整理します。SP Page BuilderとPage Builder CKの2つで、開発元も製品も別ですが、成り立ちはよく似ています。どちらも「本来は管理者しか使えないはずのファイルの受け取り口が、ログインなしで誰にでも開いていた」という作りの不備です。そこへ攻撃用の小さなプログラムを送り込むだけで、サーバーの中身を自由に操作できてしまいます。

危険度の「10.0」は、脆弱性の深刻さを世界共通の基準で数値化したCVSS（共通脆弱性評価システム）という指標の満点です。10.0はめったに付かず、「ログイン不要・遠隔から・サーバーを完全に支配できる」という条件がそろったときにだけ出る数字です。今回はその2つが同じ時期に、同じ用途のツールで重なりました。

誰が狙い、何をしてくるのか

狙ってくるのは、特定の誰かに恨みを持った相手ではありません。インターネット全体を機械で自動的にスキャンし、この2つのツールを使っているサイトを片っ端から探し回る攻撃者です。ログインもパスワードも要らないため、標的を選ばず、見つけたサイトに手当たり次第に攻撃を仕掛けます。個人ブログでも、中小企業の会社サイトでも、自治体や学校のページでも、条件が合えば等しく対象になります。

攻撃者がすることは、サーバーに自分専用の裏口プログラムを仕込み、管理者になりすます秘密のアカウントをこっそり作ることです。実際に攻撃を受けたサイトでは、正規の担当者になじみのある名前（「Web Editor」「Site Helper」など）を装った偽の管理者アカウントが見つかっています。表向きは何も変わらないまま、裏側だけが乗っ取られている状態です。

乗っ取られたサイトは、そのまま放置されるわけではありません。訪問者を偽サイトへ飛ばす踏み台にされたり、会員情報や問い合わせフォームに入力された個人情報を抜き取られたり、別のサイトを攻撃するための拠点にされたりします。サイトを運営する側は信用を失い、訪れた利用者は知らないうちに被害の入り口に立たされます。同じJoomla向けの文章編集ツールでも、少し前に同種の乗っ取り欠陥（JCEのCVE-2026-48907）が見つかっており、Joomlaの拡張機能を狙う波がこの時期に続いています。

そもそもJoomlaとページ作成ツールとは

Joomlaは、プログラミングの知識がなくてもホームページを作って更新できる無料ソフトです。世界のウェブサイトの土台として広く使われているWordPressに次ぐ知名度があり、企業サイトや会員制サイト、自治体・学校のページなどで採用されています。

Joomla本体だけでも使えますが、機能を足すために「拡張機能」と呼ばれる追加ソフトを入れるのが一般的です。今回問題になったSP Page BuilderとPage Builder CKは、その中でも特に人気の高い「ページ作成ツール」です。文章や画像、ボタンを部品のようにドラッグして並べるだけで、見栄えのするページを作れます。手軽さゆえに導入しているサイトが多く、その分だけ今回の欠陥の影響範囲も広がっています。

セキュリティ調査会社Censysの調べでは、SP Page Builderを組み込んだウェブ資産はインターネット上に約19万4,793件、ホスト数にして約3,080台が確認されています。これはあくまで外から見えている分だけで、実際の導入数はさらに多いとみられます。

SP Page Builderの欠陥（CVE-2026-48908）の仕組み

CVE-2026-48908: アイコン画像の受け取り口から侵入される

問題があったのは、SP Page Builderがページに使うアイコン画像を受け取る「asset.uploadCustomIcon」という機能です。本来は管理者がログインした状態でだけ使うはずの入り口ですが、mySites.guruの解析によれば、この入り口には「相手がログインしているか」を確かめる仕組みも、「送られてきたファイルが本当に画像か」を確かめる仕組みもありませんでした。

そのため攻撃者は、ログインしないまま、画像のふりをしたプログラム（PHPファイル）をサーバーに置くことができます。置かれたファイルはウェブから直接開ける場所に保存されるため、攻撃者がそのアドレスにアクセスするだけでプログラムが動き出し、サーバーを外から操作できるようになります。この「外部から任意のプログラムを実行される」種類の欠陥はCWE-434（危険なファイルの無制限アップロード）に分類され、CVSSの評価は最新基準（4.0）で10.0、旧基準（3.1）でも9.8という極めて高い値が付いています。

攻撃の実演コード（PoC）はすでにGitHubで公開されており、専門知識がそれほどなくても攻撃を再現できる状態です。乗っ取られたサイトには、「@secure.local」という実在しないメールアドレスを使った偽の管理者アカウントが作られ、さらに「PHP File manager」と名乗る裏口プログラムが複数の場所に仕込まれていたことが確認されています。

Page Builder CKの欠陥（CVE-2026-56290）の仕組み

CVE-2026-56290: 保存先も名前も攻撃者の言いなり

もう一方のPage Builder CKも、根っこは同じファイル受け取りの不備です。mySites.guruの解析によると、ファイルの受け取り口が「どのフォルダに」「どんな名前で」保存するかを、送られてきた要求のまま素直に受け入れていました。画像だけに絞る制限も、PHPファイルを弾く仕組みもありません。唯一の関門である「合言葉（CSRFトークン）」も、サイトのページを見れば誰でも読み取れる状態でした。

結果として、ログインしていない攻撃者が書き込み可能な好きな場所に攻撃用プログラムを置き、ブラウザで開いて実行できてしまいます。この欠陥はGitHubのアドバイザリでもCVSS 10.0（CWE-284・不適切なアクセス制御）と評価されています。修正版が公開されてから数時間のうちに、実際のサイトへ「bhup.php」という名前の裏口プログラムが仕込まれる攻撃が確認されました。

Page Builder CKは、使っているJoomlaの世代ごとに修正版が分かれています。最新系統は3.6.0、旧世代向けには3.1.1と3.4.10のバックポート版が同時に公開されました。自分のサイトのJoomlaの世代に合った版へ更新する必要があります。

製品ごとの更新先まとめ

これまでの経緯

← スワイプで移動

乗っ取られていないか確認する方法

すでに攻撃を受けているサイトは、更新するだけでは裏口が残ってしまいます。心当たりのある人は、更新と合わせて次の痕跡が残っていないかを確認してください。

• 管理者アカウントの一覧に、メールアドレスが「@secure.local」で終わる見覚えのない利用者がいないか
• 「Web Editor」「Site Helper」「Admin Backup」など、作った覚えのない管理者名がないか
• SP Page Builderでは「images」フォルダの下や「/media/com_admin/」「/media/regularlabs/」に、身に覚えのない「.php」ファイル（特に users.php）がないか
• Page Builder CKでは「/media/com_pagebuilderck/gfonts/」の下に、bhup.php のような不審な「.php」ファイルがないか

もし1つでも見つかった場合は、すでに侵入されている可能性が高い状態です。mySites.guruの手引きでは、偽アカウントと裏口ファイルの削除に加えて、Joomlaの管理者パスワード・データベース・FTP/SSHのすべての合言葉を変更し、全利用者を強制的にログアウトさせたうえでサイト全体を点検するよう勧めています。

いま何をすればよいか

まず、自分のサイトがJoomlaで作られているか、そしてSP Page BuilderかPage Builder CKを使っているかを確かめてください。Joomlaの管理画面（システム→拡張機能の管理）で、導入済みのツールとその版を確認できます。該当する場合は、上の「更新先まとめ」の表に従って、ためらわずに最新版へ更新します。攻撃はすでに世界中で自動的に行われており、「うちの小さなサイトは狙われない」という考えは通用しません。

制作を外部の会社に任せている場合は、その会社に「SP Page BuilderとPage Builder CKの緊急更新は済んでいるか」を今日中に確認してください。更新後は、前の項目で挙げた痕跡がないかも必ず点検します。実際に攻撃されている欠陥は、米政府CISAの警告リスト（KEVダッシュボード日本語版）でも追えます。今回の2件のように、Joomlaの拡張機能を狙う攻撃はこのところ続いており、使っているツールの更新情報をこまめに確認する習慣が最大の防御になります。

締めに

手軽にきれいなページを作れるツールほど、多くのサイトに入り込み、いざ欠陥が見つかったときの被害も広がります。今回のSP Page BuilderとPage Builder CKは、開発元も製品も違うのに「ログインなしでファイルを置ける」という同じ弱点を抱えていました。ページ作成ツールという便利な部品が、そのまま侵入口になり得ることを示した事例です。

やるべきことは単純です。使っているなら今すぐ更新し、乗っ取りの痕跡がないかを確かめる。この2つを今日のうちに済ませてください。Joomlaの拡張機能を狙う攻撃はこの数週間で立て続けに起きており、次に同じ手口の欠陥が出ても慌てないよう、更新情報を追う習慣をつけておくことが結局は一番の備えになります。

参照元

• ▸ NVD - CVE-2026-65766（SP Page Builder 無認証SQLインジェクション、CVSS 9.2）
• ▸ NVD - CVE-2026-65876（SP Page Builder 無認証SQLインジェクション、CVSS 9.2）
• ▸ NVD - CVE-2026-65877（SP Page Builder SQLインジェクション、CVSS 8.2）
• ▸ NVD - CVE-2026-65878（SP Page Builder パストラバーサル、CVSS 8.3）
• ▸ NVD - CVE-2026-48908 Detail（SP Page Builder）
• ▸ NVD - CVE-2026-56290 Detail（Page Builder CK）
• ▸ Censys - CVE-2026-48908 Advisory（影響範囲の調査）
• ▸ mySites.guru - SP Page Builder Zero Day RCE Fixed in 6.6.2
• ▸ mySites.guru - PageBuilder CK RCE (CVE-2026-56290)
• ▸ GitHub Advisory Database - GHSA-gxrr-wfg5-xqqf
• ▸ JoomShaper 公式サイト
• ▸ Joomlack - Page Builder CK 公式ページ
• ▸ CISA - Known Exploited Vulnerabilities Catalog