JoomlaのBalbooa・iCagendaに脆弱性4件、2.4.1では不十分 CVE-2026-65880

2026年7月28日、ホームページ作成システム「Joomla（ジュームラ）」向けのフォーム作成拡張「Balbooa Forms」に、ログイン不要でサーバー上のコードを実行される新たな脆弱性（CVE-2026-65880）が公表されました。危険度は新しい評価方式CVSS 4.0で満点の10.0。フォームに「署名欄」を置いている場合だけが対象です。

この記事を以前お読みいただいた方に、まず訂正をお伝えしなければなりません。7月に「2.4.1へ更新を」とご案内しましたが、それでは今回の脆弱性を防げません。開発元の告知によれば対象は2.4.2.1以前のすべてで、2.4.1も2.4.2も含まれます。安全なのは2.4.3だけです。7月9日の緊急対応で2.4.1へ上げたまま止まっているサイトは、いま再び危険な状態にあります。

Balbooa Formsでこの規模の欠陥が出るのは、7月だけで2件目。同じ開発元のページ作成拡張「Balbooa Gridbox」にも別の脆弱性が出ています。この記事では、Balbooa製の3件とiCagendaの1件、計4件の対象バージョンと対処を1か所にまとめました。既報の2件（iCagendaのCVE-2026-48939とBalbooa FormsのCVE-2026-56291）はすでに実際の攻撃に使われ、米政府CISAの攻撃確認リスト（KEV）にも登録済みです。使っている場合は、更新に加えてすでに乗っ取られていないかの点検まで済ませてください。

CVE-2026-65880：署名欄を置いたフォームから、無認証でコードを実行される

今回新たに公表された分です。開発元のBalbooaは7月28日、「Forms Signature Field Security Release」という告知を出し、同日に修正版2.4.3を公開しました。深刻度の自己評価は「Critical」です。

対象になるのは、フォームに「署名欄（Signature field）」を置いている場合だけです。これは、来訪者がマウスや指で手書きのサインを描いて送信できる入力欄で、Balbooa Forms 2.1.3で追加された機能です。契約の同意書や申込書をWebで完結させたいときに使われます。署名欄を使っていないフォームしかないサイトは、この件については対象外です。

欠陥の中身は、送られてきた署名のデータを処理する部分にあります。手書きの署名は、画像を文字列に変換した形で送られてきますが、その文字列を元に戻す処理が安全でない方法で行われていました。開発元の説明では、修正にあたって「サーバー側での明示的なデコード方法を強制し、構造化された入力の検証を強化した」とされています。分類はCWE-94（コードインジェクション）で、細工したデータを送るとそれが命令として解釈されてしまう型です。ログインは不要です。

7月9日に公表されたCVE-2026-56291とは別の欠陥です。あちらはファイルのアップロード処理の穴（CWE-434）で、PHPファイルを直接置かれるものでした。今回は署名データの処理という別経路で、対象バージョンも異なります。開発元自身が告知の中で、両者を別の行として並べています。

気になるのは、この脆弱性の発見経緯です。開発元は発見者を「不審な挙動を責任をもって報告してくれたBA Formsの利用者」としており、あわせて「サイトのファイルに見覚えのない不審なPHPファイルがないか確認してください」と呼びかけています。研究者が実験室で見つけたのではなく、実際に何かが起きているサイトから報告が上がったと読める書き方です。ただし、Joomla側の登録情報には「悪用確認済み」の印が付いておらず（既報の2件には付いています）、実際の攻撃が公式に確認されたわけではありません。強い示唆であって、確証ではないという理解が正確です。

なお記事執筆時点で、この脆弱性はCISAの攻撃確認リスト（KEV）に載っていません。悪用の可能性を示すEPSSの数値もまだ算出されておらず、攻撃用のプログラムも公開されていません。公表から数時間しか経っていないためで、「安全」を意味するものではありません。

CVE-2026-61425：Balbooa Gridboxで、管理者になりすまされる

同じ開発元のページ作成拡張「Balbooa Gridbox」にも、7月20日に脆弱性（CVE-2026-61425）が公表されています。認証の判定をすり抜けてJoomlaの最上位権限であるスーパーユーザーになりすませるもので、危険度はCVSS 4.0で9.4です。分類はCWE-288（代替パスによる認証回避）。

対象は1.0.0から2.20.0.2までで、2.20.1で修正されています。Balbooa Formsの2件とは別製品ですが、同じ開発元の拡張を複数使っているサイトは少なくありません。Formsを直すついでに、Gridboxのバージョンも確認しておくのが効率的です。

こちらは今のところ、悪用の可能性を示すEPSSの数値が0.003程度と低く、攻撃が観測されたという報告もありません。同じ時期のBalbooa Formsの件（EPSS 0.76・上位99パーセンタイル）とは、置かれている状況がかなり違います。

iCagendaとBalbooa Formsとは何か

Joomlaは、WordPressと並んで世界で広く使われているホームページ作成システム（CMS）です。拡張機能（プラグイン）とは、Joomlaに後から機能を足す部品のことです。今回問題になった2つは、いずれもJoomlaサイトで人気の拡張機能です。iCagendaは、イベントや予定を掲載・受付できるイベントカレンダーの拡張で、来訪者が自分でイベントを投稿できる機能を備えています。Balbooa Formsは、問い合わせや申込のフォームをドラッグ＆ドロップで作れるフォーム作成ツールです。

どちらも共通して、利用者や来訪者がファイルを添付・投稿できる機能を持っています。イベント投稿の添付やフォームの添付のように「外部からファイルを受け取る窓口」は、受け取る側の確認が甘いと、プログラムファイルを送り込まれてサーバーを乗っ取る入口になり得ます。同じJoomlaのページづくりツールでのRCE（遠隔からのコード実行）は、SP Page Builderなどページ作成ツール2種の脆弱性でも報告されたばかりで、WordPress側でもフォーム作成プラグインSuper Formsの乗っ取りの脆弱性など、同じ構図が繰り返し起きています。

何が危険なのか、どこまで被害が広がるのか

ここからは、7月上旬に公表され、すでに実際の攻撃に使われた2件（iCagendaのCVE-2026-48939とBalbooa FormsのCVE-2026-56291）の解説です。上で扱った署名欄の件とは別の欠陥ですが、狙われ方と点検すべき場所は共通しています。この2件はどちらも、専門用語では「任意ファイルアップロード」と呼ばれる不備です。本来これらの機能は、画像やPDFなど決められた種類のファイルだけを受け取るべきですが、ファイルの種類やログインの有無を確かめずに受け取ってしまう状態になっていました。その結果、攻撃者はサーバー上で命令を実行できるプログラムファイル（PHPファイル）を送り込み、そのまま実行させられます。米国立標準技術研究所（NIST）はこれを、危険な種類のファイルを無制限にアップロードできる分類（CWE-434）として整理しています。

送り込まれたプログラムがサーバー上で実行されると、攻撃者はサイトの管理権限を奪い、ページの改ざん、会員情報や問い合わせデータの持ち出し、サーバーを踏み台にした別サイトへの攻撃まで、事実上何でもできるようになります。悪用にログインは不要で、公開されたイベント投稿ページやフォームに細工した通信を送るだけ。利用者のクリックも要りません。CVSS 4.0で満点の10.0という数字は、この「特別な権限も利用者の操作もなくサーバーを奪える」点を反映しています。

そして最も重いのは、これらがすでに実際に攻撃されていることです。iCagendaの欠陥は、修正版が出る前から悪用されていた「ゼロデイ（修正前の攻撃）」で、発見したJoomla専門サービスmySites.guruによれば2026年6月15日ごろから、「icagenda-batch/1.0」を名乗る自動プログラムが無防備なサイトを探し回って攻撃していました。Balbooa Formsも同様に、修正版公開の前日にあたる7月8日ごろに実際の攻撃が確認されています。悪用が確認された脆弱性は、Oracle EBSの乗っ取りの脆弱性やSharePoint Serverの脆弱性のように、CISAが緊急で警告する対象になります。

誰がこの穴を狙い、何が起きるのか

この脆弱性を突くのは、サイトを改ざんして偽ページやスパム送信の踏み台にする攻撃者や、サーバーを乗っ取って身代金を要求するランサムウェア集団です。ログインすら不要で仕掛けられるため、彼らは脆弱なJoomlaサイトを自動で探し回り、見つけ次第まとめて攻撃します。実際、iCagendaでは「icagenda-batch/1.0」という名前の自動スキャナーが、無差別にサイトを巡回してPHPファイルを送り込む攻撃が観測されており、この手口が現在進行形で動いていることが分かります。特定の攻撃グループへの結びつきは確認されておらず、機会主義的な無差別スキャンとみられています。

攻撃の流れは驚くほど簡単です。攻撃者は、公開されているイベント投稿やフォームの窓口へ、画像などに見せかけたプログラムファイルを送り込み、それをサーバー上で実行してサイトの支配権を奪います。必要なのはわずかな通信だけで、被害者側のクリックや操作は一切要りません。制作を外注したまま更新が止まっているサイトほど、格好の的になります。

結果として、サイトを運営する個人や事業者は、公開ページを改ざんされたり、フォームやイベントで集めた個人情報を丸ごと抜かれたりします。乗っ取られたサイトは、知らないうちにフィッシングやマルウェア配布の拠点にされ、閲覧者にも被害が及びかねません。ひとたび制御を奪われると復旧には時間も費用もかかり、サイトの信用そのものが傷つきます。

技術的に見ると何が起きているのか

相次いで報告された2件には、それぞれ識別番号が割り当てられています。いずれも発見・報告はJoomlaのセキュリティ監視サービスmySites.guruです。

CVE-2026-48939：iCagenda、イベント投稿フォームからPHPを実行（実際に悪用）

iCagendaでは、来訪者がイベントを投稿する際のファイル添付機能に、種類を確かめずにファイルを受け取る欠陥がありました。ログイン不要で、イベント投稿フォームからPHPのプログラム（Webシェルと呼ばれる遠隔操作用の裏口）を送り込み、サーバーを乗っ取れます。根本の原因は、アクセスの可否を画面表示の層でしか確認しておらず、実際にファイルを処理する経路には検査がなかったこと、そして拡張子の検証が欠けていたことです。対象は3.2.1から3.9.14まで、および4.0.0から4.0.7までで、開発元は2026年6月15日に4.0.8を、翌日に旧系列向けの3.9.15を公開して修正しました。危険度はCVSS 4.0で10.0（3.1で9.8）です。

なお開発元は、実際に悪用が成立しやすかったのは主にJoomla本体のバージョン6.0.0〜6.1.1の環境で、それ以前のJoomjaでは危険なアップロードが標準でブロックされていたと説明しています。一方、NVDや海外報道は拡張機能のバージョンだけで影響範囲を示しており、この点は情報源によって説明が分かれます。いずれにせよ、対象バージョンのiCagendaを使っているなら更新するのが安全です。この欠陥では「icagenda-batch/1.0」を名乗る自動スキャナーによる悪用が観測されています。

CVE-2026-56291：Balbooa Forms、無認証のファイルアップロードでサイト乗っ取り

Balbooa Forms（内部名称com_baforms）のフォーム送信処理には、添付ファイルの種類を検証する仕組みが抜けており、しかもログインもCSRFトークン（偽リクエスト対策の合言葉）も求めずに、匿名の訪問者からファイルを受け取っていました。そのため攻撃者は、実行可能なPHPファイルを公開フォルダ（images/baforms/uploads/配下）に送り込み、Webから直接呼び出して実行できます。設置されたファイルが実行されると、そのままサーバー上で攻撃者の命令が走ります。対象はバージョン1.0から2.4.0までで、開発元は2026年7月9日に公開した2.4.1で修正しました。危険度はCVSS 4.0で10.0（3.1で9.8）。この欠陥も修正版が出る前から悪用されていたとされ、CISAの攻撃確認リスト（KEV）に登録されています。

影響を受けるバージョンと修正版

Balbooa製3件とiCagenda 1件の、対象バージョンと修正版です。Balbooa Formsは2つの脆弱性で対象範囲が違うため、行を分けました。両方を直したいなら見るべきは2.4.3の一点だけです。

自分のサイトが対象かどうかは、Joomlaの管理画面から確認できます。管理画面にログインし、上部メニューの「システム」→「拡張機能の管理（Extensions → Manage）」を開いて、「iCagenda」「Balbooa Forms」（com_baforms）「Balbooa Gridbox」を検索してください。表示されたバージョンが上の表の対象範囲なら、更新が必要です。

サイトが乗っ取られていないか確認する手順

今回はすでに攻撃が進行しているため、「更新したから安心」ではなく、更新前にすでに侵入されていないかを確認することが欠かせません。攻撃者はまず、遠隔操作用の裏口（Webシェル）となるPHPファイルを送り込みます。以下のポイントを順に点検してください。

サーバーにSSHでログインできる場合は、アップロード先に潜むPHPファイルを一括で探せます。たとえばfind images/baforms/uploads -name '*.php' -type fやfind images/icagenda -name '*.php' -type fを実行し、本来あるはずのないPHPファイルが見つかれば、乗っ取りの強い兆候です。ひとつでも該当すれば、単なる更新では済みません。次の対策に沿って、証拠の保全と復旧まで進めてください。

今すぐできる対策

対策の軸ははっきりしています。iCagendaは4.0.8（旧系列は3.9.15）、Balbooa Formsは2.4.1へ更新することが最優先です。すでに悪用が確認されているため、放置した分だけ乗っ取られる危険が高まります。Joomlaの管理画面から拡張機能の更新を確認し、最新版を適用してください。注意したいのは、iCagendaは拡張機能を「非公開（unpublish）」にしても防御にならない点です。投稿の窓口は到達可能なまま残り、すでに置かれたファイルもWebから配信され続けるため、確実な対策は更新だけです。

すぐに更新できない事情がある場合は、一時しのぎとしてファイル添付を受け付ける公開フォームやイベント投稿ページを一時的に停止することで悪用の入口を狭められます。ただし時間稼ぎにすぎません。前の章の点検で侵入の疑いが出た場合は、証拠を保全したうえで不審なPHPファイルを除去し、Joomlaの全パスワード（管理者・データベース・FTP）を変更、クリーンなバックアップからの復元やセキュリティ専門業者への相談を検討してください。ファイルの受け取りを伴う機能の欠陥は、予約受付プラグインLatePointの脆弱性のように製品を問わず繰り返し起きるため、使っていない拡張機能は削除し、有効なものだけを最新に保つのが基本です。

確認できていること、まだ分からないこと

よくある質問

まとめ

Joomlaの拡張機能で、7月だけで4件の重大な脆弱性が出ました。最新のCVE-2026-65880はBalbooa Formsの署名欄から無認証でコードを実行されるもので、危険度は満点の10.0。安全なのは2.4.3のみで、7月に案内された2.4.1でも2.4.2でも防げません。既報のiCagenda（CVE-2026-48939）とBalbooa Forms（CVE-2026-56291）はすでに実際の攻撃に使われ、CISAの攻撃確認リストに登録済みです。Gridboxの件（CVE-2026-61425）は、いまのところ悪用の兆候はありません。

やるべきことは、Balbooa Formsを2.4.3、Gridboxを2.20.1、iCagendaを4.0.8（旧系列は3.9.15）へ上げること。そして更新だけで終わらせないことです。7月の件では、2.4.1へ更新してもすでに置かれていた不正なファイルは消えないと開発元のコミュニティで報告されています。アップロード先フォルダに見覚えのないPHPファイルがないか、管理者アカウントが増えていないかまで点検して、ようやく一区切りです。

最後に、規模感も正直に書いておきます。日本語サイトでのJoomlaの利用率は、CMSが判明しているサイトの0.1%程度で、WordPressの82.8%とは桁が違います。Balbooa Formsはその中の有料拡張ですから、国内で該当するサイトは決して多くありません。ただし、使っている少数のサイトにとっては満点の10.0がそのまま降ってきます。該当するなら、規模の話は関係ありません。新たな動きがあれば、この記事に追記します。

参照元

• ▸ NVD - CVE-2026-65880（Balbooa Forms・署名欄）
• ▸ Balbooa - Forms Signature Field Security Release（開発元の告知・2026年7月28日）
• ▸ NVD - CVE-2026-61425（Balbooa Gridbox）
• ▸ Balbooa - 7月の侵害事例に関するコミュニティ告知
• ▸ NVD - CVE-2026-48939（iCagenda）
• ▸ NVD - CVE-2026-56291（Balbooa Forms）
• ▸ CISA - 攻撃確認リスト（KEV）への追加アラート（2026年7月10日）
• ▸ mySites.guru - iCagenda Zero Day File Upload RCE（発見元）
• ▸ mySites.guru - Balbooa Forms Unauthenticated File Upload Flaw（発見元）
• ▸ Security NEXT - Joomla向け機能拡張の脆弱性悪用に注意（日本語）