CVE-2026-48908-joomla-sp-page-builder-detection

Joomla SP Page Builder の CVE-2026-48908 を検証します。不正なアイコンアップロードによる PHP コード実行につながります。auditd/PCAP エビデンス、イベントタイムライン、防御研究のための SOC 検出推奨事項を含みます。

エクスプロイトソース、ペイロードソース、生のPCAP、生のDocker証拠パッケージ、またはDOCXソースファイルは含まれていません。

テスト環境

Joomlaのドキュメントルート /var/www/html はDockerボリューム joomla5-builders_joomla_data によってバックアップされていました。これは検知にとって重要です。docker diff はボリューム内のファイル変更に対する詳細な可視性を提供しなかったため、ファイル監視はボリュームを認識したファイル一覧とホスト側の監視ガイダンスに依存する必要がありました。

検証された内容

テストは隔離された許可された実験室環境で実施されました。検証は以下のシーケンスをカバーしました。

1. Joomla 5 をDocker内にデプロイし、SP Page Builder をインストールしました。
2. 参考文献にリストされた公開プロジェクトを初期検証リファレンスとして使用しました。
3. SP Page Builder の asset.uploadCustomIcon エンドポイントは、実験室環境でアップロードされたアイコンアーカイブを受け入れました。
4. /media/com_sppagebuilder/assets/iconfont/ 配下に新しいディレクトリとファイルが作成されました。
5. アップロードされたコンテンツには、大文字小文字が混在したPHP拡張子と、.PHP 拡張子に対するPHPハンドリングを変更する .htaccess ファイルが含まれていました。
6. アップロードされたPHPアーティファクトがHTTP経由で呼び出され、制御されたコマンドを実行しました。
7. Windowsホストへの1回限りのTCPコールバックにより、送信接続が確認されました。
8. 制御されたリバースシェルテストにより、Webサーバーユーザーとしての対話型コマンド実行が確認されました。
9. /root へのアクセスと su - によるユーザー切り替えの試行は失敗しました。
10. 被害側のテレメトリとWindowsのスクリーンショットからの証拠が、単一のUTCタイムラインに相関付けられました。

レポートは、再利用可能なエクスプロイトやペイロードの実装を配布することなく、証拠と検知ロジックを意図的に文書化しています。

確認された結果

実験室テストで確認された内容：

• SP Page Builder の asset.uploadCustomIcon エンドポイントを通じた不正なアップロード；
• Joomlaメディアディレクトリ配下へのPHPおよび.htaccessアーティファクトの作成；
• HTTPリクエスト後のアップロードされたPHPアーティファクトのサーバーサイド実行；
• Apache/PHPプロセスユーザーコンテキストでの実行；
• JoomlaコンテナからWindowsホストへの送信TCP接続；
• www-data としての対話型リバースシェルセッション；
• rootへの特権昇格は確認されず。

コンテナ内での有効なIDは以下の通り：

特権昇格の試行失敗は以下のように確認されました：

主要な証拠

公開PoC検証とアップロード動作

公開PoCはいくつかの拡張子バリエーションをテストし、実験室環境では大文字小文字が混在したPHP拡張子と.htaccessの組み合わせが実行につながる可能性があることを確認しました。

Webサーバーユーザーとしてのコード実行

制御されたHTTPリクエストで whoami を実行し、ブラウザに有効なプロセスユーザーが表示されました。

1回限りのTCPコールバック

対話型テストの前に、ターゲット環境からWindowsホストへのTCPポート4444への送信接続を確認するために、より安全な1メッセージコールバックが使用されました。

リバースシェルセッション

対話型セッションにより、www-data としての実行、オペレーティングシステムとしてのLinux、およびJoomla SP Page Builderメディアパス配下の作業ディレクトリが確認されました。

ルートアクセス試行失敗

/root へのアクセスと su - による認証試行は失敗しました。テストパスワードの公開を避けるため、スクリーンショットは編集されています。

再構築されたタイムライン

完全なタイムラインは両方のPDFレポートで入手可能です。最も重要なイベントは以下の通り：

証拠収集方法論

LinuxとDocker

被害ホストは以下を収集しました：

• execve の auditd イベント；
• tcpdump を使用したパケットキャプチャ；
• Dockerコンテナのメタデータ、ログ、イベント、プロセス一覧、ファイルシステム差分；
• コンテナ内部からの定期的なファイル変更ポーリング；
• Joomlaドキュメントルート、一時ディレクトリ、関連メディアパスのファイル一覧；
• テスト前後の選択されたコンテナ状態。

また、テストでは監視の制限も特定されました。/var/www/html がDockerボリュームによってバックアップされていたため、docker diff は /var/www/html/media/com_sppagebuilder/assets/iconfont/ 配下の詳細なファイル作成を表示しませんでした。したがって、ファイル整合性監視はボリュームを支える実際のホストパスをカバーする必要があります。

Windows

Windowsホストの証拠は、レポートに関連するスクリーンショットに意図的に限定されました：

• 公開PoCの出力；
• whoami のブラウザ出力；
• 1回限りのコールバックのNcat出力；
• リバースシェルセッションのNcat出力；
• パスワードが編集された /root と su - の試行失敗。

最も重要な検知の機会

1. SP Page Builder を通じたアップロード

以下の組み合わせについて、HTTP、リバースプロキシ、WAF、またはネットワークテレメトリを監視します：

本番環境では、公開PoCのUser-Agentのみに依存しないでください。エンドポイントと予期しないアップロードパターンの方が、User-Agentの値よりも安定した指標です。

2. SP Page Builder アイコンパス配下の実行可能ファイルまたは .htaccess

以下のパターンに一致する新規または変更されたファイルについて、ファイルテレメトリを監視します：

メディアアップロードディレクトリ内に AddType application/x-httpd-php .PHP を含む .htaccess が存在することは、価値の高い指標です。

3. コマンドパラメータを含むアップロードされたPHPファイルへのGETリクエスト

アップロードアクティビティを、以下のようなパスへの後続のHTTPリクエストと関連付けます：

リクエストがPHPのような拡張子を対象とし、t= や c= などのパラメータを含む場合、信頼性が高まります。

4. Webサービスアカウントからのシェルまたはインタプリタアクティビティ

価値の高いプロセス指標には以下が含まれます：

5. Webコンテナからの送信接続

Webサーバープロセスによって起動されたシェルまたはインタプリタが、ワークステーションまたは異常な宛先ポートへの送信接続を開始した場合にアラートを発します。実験室のイベントではTCPポート4444が使用されましたが、本番環境での検知は単一のポートに依存すべきではありません。

6. Web実行後の特権昇格試行失敗

テストでは失敗した su - 試行が発生しました。unix_chkpwd などの認証ヘルパー、/var/log/btmp への書き込み、およびWebサービスアカウント侵害後の対話型コマンドを監視します。

SOCトリアージガイダンス

HTTPアップロード指標が検出された場合、SOCは直ちに以下と相関させるべきです：

• 送信元IP、ユーザーエージェント、HTTPステータス；
• 対象のJoomlaインスタンスにSP Page Builderがインストールされているか、およびバージョンに脆弱性があるか；
• /media/com_sppagebuilder/assets/iconfont/ 配下の新しいディレクトリ；
• Joomlaメディアディレクトリ配下の新しいPHPライクなファイルまたは .htaccess ファイル；
• アップロード直後の新しく作成されたファイルへのHTTP GETリクエスト；
• t= や c= などのコマンドライクなクエリパラメータ；
• Webサーバーユーザーによるプロセス作成（特にシェルまたはインタプリタプロセス）；
• WebコンテナまたはWebサービスアカウントからの送信接続；
• whoami、id、uname、hostname、pwd、ip、ifconfig、netstat、ss などの発見コマンド；
• 初回実行後の認証失敗、資格情報アクセス試行、永続化、または横方向移動。

単一のアップロードイベントだけでは必ずしも十分ではありません。最も強力なアラートは、アップロード、ファイル作成、ファイルアクセス、プロセス実行、および送信ネットワークテレメトリを同じ短い時間枠内で組み合わせます。

推奨される緩和策

1. SP Page Builder をバージョン6.6.2以上にアップデートする。
2. /media/com_sppagebuilder/assets/iconfont/ およびJoomlaメディアディレクトリ全体で、PHPライクなファイルと .htaccess アーティファクトを確認する。
3. アップロードディレクトリから予期しないPHP、.htaccess、.phtml、.phar、アーカイブ、または実行可能アーティファクトを削除する。
4. Apache、Nginx、PHP-FPM層でアップロードディレクトリおよびメディアディレクトリでのPHP実行を無効にする。
5. 信頼されていないネットワークからの asset.uploadCustomIcon エンドポイントへのアクセスを制限するか、アラートを発する。
6. Webサービスの子プロセスとWebコンテナからの送信接続を監視する。
7. アプリケーションのドキュメントルートを含むDockerボリュームに対して、FIM、eBPF、auditd、またはEDRカバレッジを展開する。
8. アプリケーションデータがDockerボリュームまたはバインドマウントに保存されている場合、Webルート監視のために docker diff だけに依存しない。

範囲と制限事項

• 検証は、SP Page Builder がインストールされた1つのJoomla 5 Dockerインスタンスに対して実行されました。
• 観測された影響は、Webサーバープロセスユーザー www-data としてのコード実行でした。rootへの特権昇格は確認されませんでした。
• 結果はテストされたパスと構成を確認するものです。すべてのデプロイメント、リバースプロキシ、Webサーバー、PHPハンドラ、またはオペレーティングシステムが同一に動作することを証明するものではありません。
• 攻撃的なエクスプロイトコード、ペイロードソース、生のPCAPファイル、生のDocker証拠パッケージ、およびDOCXソースファイルはこのリポジトリでは配布されていません。
• レポートには、読みやすく検知に焦点を当てるために、生のログ全体ではなく、選択された証拠抜粋が含まれています。

参考文献

• NVD - CVE-2026-48908
• CVE.org - CVE-2026-48908
• CISA既知の悪用された脆弱性カタログ
• 初期検証リファレンスとして使用された公開プロジェクト
• JoomShaper SP Page Builder

責任ある使用に関する注意

この資料は、防御的なセキュリティ研究、脆弱性管理、検知エンジニアリング、インシデント対応準備、および許可されたテストのために提供されています。明示的な許可なしにシステムに対して使用しないでください。