jDownloadsにPHP実行の脆弱性、修正版4.1.8公開
Joomla用拡張機能jDownloadsの4.1.8より前の版に、サムネイル画像のアップロード経由でサーバー上のPHPコードが実行される脆弱性があります。修正版の4.1.8へ更新し、不審なファイルが置かれていないかも調べてください。
急ぎ度: 至急
CVSS v4が10で、サーバー上でのコード実行につながる脆弱性であり、すでに修正版の4.1.8が公開されているため、早く更新するだけで防げる状況です。
関係があるか
Joomla 5または6のサイトにjDownloadsを入れ、利用者からのファイルアップロードを受け付けている組織が当てはまります。ダウンロード配布用のサイトを、外部の制作会社に任せて運用している場合も確認が要ります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| jDownloads extension for Joomla | 4.1.8より前の版 | 4.1.8（Joomla 5・6向けのセキュリティ更新） |
確かめ方
- 1Joomlaの管理画面で「システム」の「拡張機能」の「管理」を開き、jDownloadsの版が4.1.8未満でないかを確認します。
- 2フロントエンドからのアップロードを、どのユーザーグループ（未ログインの訪問者を含む）に許可しているかを、jDownloadsのオプションとJoomlaのアクセス権の設定で確認します。
- 3社内にJoomlaサイトが複数あるときは、部門や制作会社が立てたサイトも含め、jDownloadsを使っていないかを洗い出します。
何が起きたか
jDownloadsに、サイトのサーバー上で攻撃者が用意したPHPコードを実行されてしまう脆弱性が見つかりました。2026年11月12日に公表され、同じ日に修正版の4.1.8が公開されています。
フロントエンド側で受け付けるサムネイル画像のアップロードについて、ファイルの中身や種類の検証が足りませんでした。アップロード権限のあるユーザーが、画像ではなく実行できるファイルをサーバーに置けてしまいます。弱点の種類はCWE-434（危険な種類のファイルの無制限アップロード）です。
4.1.8はこの問題のほかにも、ファイルや画像の扱い、参照されたダウンロードの権限チェック、外部ダウンロードURLの処理、管理機能へのアクセスなど、複数のセキュリティ修正を含みます。
攻撃の流れ
-
1
アップロード機能へ
サイトのフロントエンドにある、サムネイル画像のアップロード機能に到達します。
-
2
実行ファイルを設置
検証が甘いため、画像ではない実行可能なファイルがサーバー上に保存されます。
-
3
PHPとして実行
置かれたファイルがPHPコードとして動き、サーバー上で任意の処理が行われます。
-
4
サイトの乗っ取り
データの閲覧や改ざん、サイトの停止、同じサーバー上の他のシステムへの波及につながります。
どう悪用されるか
脆弱性の説明では、アップロード権限を持つユーザーが対象です。一方、CVSS v4のベクターは、ネットワーク経由で、特別な条件や利用者の操作なしに悪用でき、事前の権限も不要と評価しています。説明とベクターで前提に差があるため、実際にどのユーザーがアップロードできるかは、サイトごとに確認したほうが安全です。
悪用に成功すると、攻撃者がサーバー上でPHPコードを実行できます。CVSS v4は機密性・完全性・可用性のすべてを高、連鎖して影響を受ける別のシステムも高と評価しています。ダウンロード用のファイルや会員情報の流出、サイトの改ざん、同じサーバーに載った他のサイトへの影響まで想定しておく必要があります。
今すぐやること
-
1
サイトとデータベースを完全にバックアップする
更新前に、ファイルとデータベースの両方を取得します。ベンダーも更新前のバックアップを求めています。
-
2
jDownloads 4.1.8に更新する
jdownloads.comから公式のインストールパッケージを入手し、Joomlaの拡張機能インストーラーで入れます。更新後は、アップロード・編集・ダウンロードの各操作が正常に動くかを確認します。
-
3
不審なファイルと操作の跡を調べる
4.1.8より前の版で運用していた期間があるなら、jDownloadsのアップロード先やサムネイルの保存先に、見覚えのないPHPファイルや更新日時が不自然なファイルがないかを確認します。Webサーバーのアクセスログで、不審なアップロードの形跡も見ます。見つかった場合は、パスワードや鍵の入れ替えを含めてインシデントとして扱います。
-
4
アップロード権限の範囲を見直す
フロントエンドからアップロードできるユーザーグループを、業務に必要な範囲まで絞ります。
すぐ更新できないとき
ベンダーの告知に、更新以外の回避策は書かれていません。すぐに更新できないときは、つなぎとして、フロントエンドからのアップロード権限をいったん外すか、サイトの公開を絞ります。あわせて、アップロード先のディレクトリでPHPが実行されない設定をWebサーバー側に入れておくと、被害を小さくできる可能性があります。これらは更新の代わりにはなりません。
背景
jDownloadsは、Joomlaサイトでファイルの配布を管理する拡張機能です。公開期間やアクセス権を設定でき、利用者がフロントエンドからファイルやサムネイルを登録することもできます。社外向けの資料配布や会員向けのダウンロード窓口に使われることが多く、インターネットに直接公開されている前提のサイトにあたります。
この拡張機能では、2026年7月公開の4.1.6でも、アップロード関連の古いファイルが4.1系（4.1.0以降）のパッケージに誤って含まれていたことを理由に、セキュリティ更新が出ています。今回の4.1.8は、サムネイルのアップロード検証という別の入口をふさぐ更新です。ベンダーは4.1.6の際に、不正なアップロードが疑われる場合はディレクトリとログを確認するよう案内しており、今回も同じ視点での点検が役に立ちます。
よくある質問
Q.すでに4.1.6や4.1.7を入れています。追加の更新は必要ですか。
Q.4.1.8に更新すると、挙動が変わるところはありますか。
Q.更新後にスキャンキーの入れ替えは要りますか。
まだ分かっていないこと
- CVSS v4のベクターには攻撃が観測された段階を示す値が付いていますが、実際の悪用の状況や被害の報告は公表されていません。
- 4.0.x系やJoomla 5・6以外の環境が、この脆弱性の影響を受けるかどうかは公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Joomla Extension - jdownloads.com - RCE through file upload in jDownloads < 4.1.8 - Insufficient validation of frontend thumbnail uploads allowed users with upload permission to place executable files on the server. This results in PHP code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security@joomla.org
- web nvd.nist.gov
- web jdownloads.com
- web github.com