🚨 CVE-2026-48908 — 任意ファイルアップロードによる完全なサーバー侵害

SP Page Builder の重大な脆弱性により、認証されていない攻撃者が任意のファイルをアップロードして リモートコード実行（RCE） を達成し、サーバー全体の侵害につながる可能性があります。

📖 概要

CVE-2026-48908 は、Joomla の人気拡張機能 SP Page Builder に影響を与える重大なセキュリティ脆弱性です。

この欠陥は、ファイルアップロード機能における不適切なアクセス制御と不十分な検証に起因し、攻撃者が認証なしで悪意のあるファイルをアップロードすることを可能にします。

悪用に成功すると、次の結果を招く可能性があります：

コンポーネント:
SP Page Builder

影響を受けるバージョン:
1.0.0 → 6.6.1

修正バージョン:
6.6.2+

脆弱性は以下に存在します：

asset.uploadCustomIcon

アップロードメカニズムは以下を適切に強制しません：

その結果、攻撃者は実行可能なPHPファイルを直接ターゲットサーバーにアップロードできます。

注意すべき兆候：

アップロードディレクトリ内の予期しないPHPファイル
未知の管理者アカウント
不審なPOSTリクエスト
新しいスケジュールタスク
未知のホストへの外部接続
Webシェルの痕跡

SP Page Builderを6.6.2以降にアップグレードしてください

アップロードディレクトリを検索：

find . -type f -name "*.php"

最近作成されたファイルを探す：

find . -mtime -7

ウェブサーバーログを確認：

grep "POST" access.log

CVE-2026-48908は、Joomla用のSP Page Builderに影響を与える重大な認証なしファイルアップロード脆弱性です。この欠陥により、攻撃者は任意の実行可能ファイルをアップロードしてリモートコード実行を達成し、影響を受けるサーバーの完全な侵害につながる可能性があります。

脆弱なバージョンを使用している組織は、直ちにパッチを適用し、徹底的な侵害評価を実施する必要があります。

直ちにパッチを適用