Trusted Design

解説:

CVE‑2026‑48908 は Joomla 用 SP Page Builder に存在する 認証不要の任意ファイルアップロード → PHP 実行による完全な RCE（リモートコード実行） という 極めて重大（CVSS 10 / 9.8） な脆弱性です。

1. 脆弱性の概要

SP Page Builder（JoomShaper製 Joomla 拡張）のファイルアップロード機能に 認証・ファイル種別チェックが存在しない ため、 攻撃者は 未認証のまま PHP ファイルをアップロード → 実行 できる。

結果として：

• Joomla サイトの 完全な乗っ取り
• Web サーバー権限での 任意コード実行
• データ窃取・改ざん・ランサムウェア設置などが可能

2. 深刻度（CVSS）

• CVSS v3.1：10.0（Critical）（OpenCVE）
• CVSS v3.1：9.8（Critical）（TheHackerWire）
• CISA KEV 登録 → 実際に悪用されている

（CISA が “actively exploited” と分類）

3. 影響範囲

3.1 影響を受ける製品

• SP Page Builder for Joomla
• 1.0.0 ～ 6.6.1 が脆弱

3.2 攻撃条件

• 認証不要（PR:N）
• ネットワーク経由で攻撃可能（AV:N）
• ファイル種別チェックなし → PHP 実行可能

4. 攻撃シナリオ

攻撃者が SP Page Builder のアップロード API に対し

• 悪意ある PHP ファイルを POST
• 拡張がそのままファイルを保存
• Joomla がその PHP を実行

→　攻撃者は Web サーバー権限で 完全な RCE を獲得

TheHackerWire はこの脆弱性が ランサムウェア攻撃の踏み台になり得る と警告している。

5. 悪用状況（実際の攻撃）

• CISA が “actively exploited” と明記
• PoC（攻撃コード）が公開されており、武器化が進行

6. 推奨対策

6.1 恒久対策（必須）

• SP Page Builder を 6.6.2 以降へアップデート

→ ベンダー修正済み

6.2 暫定緩和策（OpenCVE 推奨）

• アップロード機能を 管理者のみに制限
• アップロードディレクトリで PHP 実行を禁止（.htaccess）
• Web サーバーで アップロードディレクトリの実行権限を無効化

6.3 CISA 推奨

• ベンダーの指示に従い即時パッチ適用
• パッチ不可なら 製品の利用停止を検討

7. IoC（侵害兆候）

公式 IoC は未公開だが、起こり得る兆候：

• /images/ や /uploads/ 配下に 不審な .php ファイル
• Joomla サイトの改ざん
• Web サーバー上で不審なプロセス
• アップロード API への大量 POST