山梨大学、Joomla拡張「JCE」の脆弱性悪用で複数サイト改ざん　WebShell設置後に同一レンタルサーバ内へ侵害拡大

山梨大学は2026年8月27日、同大学が契約するレンタルサーバで情報セキュリティインシデントが発生し、同一サーバ上で運用していた複数のWebサイトで改ざんなどの侵害を確認したと公表しました。

大学によると、6月上旬、あるWebサイトで利用していたJoomla拡張機能「JCE」の脆弱性が悪用され、外部からサーバを不正操作するWebShellが設置されました。その後、このWebShellを利用し、7月下旬にかけて同じレンタルサーバ上の他サイトへ侵害が拡大した可能性が高いとしています。

7月中旬以降には、複数のCMS利用サイトで不正ユーザーの作成、WebShellなどの不審ファイルの設置、SEOスパム、SEOポイズニングを確認しました。

侵害されたWebサイトでは個人情報や機微情報を取り扱っておらず、8月27日時点で情報流出も確認されていません。大学は安全性の確認と復旧を進め、安全性を確認できたサイトから順次公開を再開しています。

JCE開発元は6月3日、認証されていない利用者がEditor Profileを作成し、任意ファイルのアップロードにつながる重大な脆弱性をJCE 2.9.99.5で修正しました。この脆弱性にはCVE-2026-48907が割り当てられ、CVSS v4.0は10.0（Critical）です。JCE側は実際の攻撃で悪用されていること、動作するexploitコードが公開され、自動化された攻撃が行われていることも警告しています。

ただし、山梨大学の公表資料は悪用されたJCE脆弱性のCVE番号を明示していません。このため、本稿では大学のインシデントについて「CVE-2026-48907による侵害」と断定せず、同時期にJCE側が公表した重大脆弱性として分けて整理します。

山梨大学Webサイト改ざんのサマリー

• 山梨大学は2026年8月27日、契約する1台のレンタルサーバ上で複数のWebサイトが侵害されたと公表しました。
• 6月上旬、あるWebサイトで利用していたJoomla拡張機能「JCE」の脆弱性が悪用され、WebShellが設置されました。
• その後7月下旬にかけて、設置されたWebShellを利用し、同じレンタルサーバ上の他サイトへ侵害が拡大した可能性が高いとしています。
• 7月中旬以降、複数のCMSサイトで不正ユーザーの作成、WebShellなどの不審ファイル、SEOスパム、SEOポイズニングを確認しました。
• 影響範囲は、山梨大学が契約する1台のレンタルサーバ内に開設されたWebサイトに限定されています。
• 侵害されたWebサイトでは個人情報や機微情報を取り扱っておらず、8月27日時点で情報流出は確認されていません。
• 8月30日時点の大学公開一覧では59サイトが対象として掲載され、3サイトが公開、56サイトが閲覧不可となっています。
• JCE開発元は6月3日、認証なしでEditor Profileを作成でき、任意ファイルのアップロードにつながる脆弱性をJCE 2.9.99.5で修正しました。
• 同脆弱性はCVE-2026-48907として公開され、CVSS v4.0は10.0（Critical）です。
• CVE-2026-48907は2026年6月16日にCISA Known Exploited Vulnerabilities（KEV）Catalogへ追加されています。
• JCE開発元は、同脆弱性が実際の攻撃で悪用され、動作するexploitコードが公開されており、攻撃が自動化されていると警告しています。
• 山梨大学は悪用されたJCE脆弱性のCVE番号を公表していないため、大学の侵害原因をCVE-2026-48907と断定することはできません。

項目	内容
公表日	2026年8月27日
対象組織	国立大学法人山梨大学
発生時期	2026年6月上旬に最初のWebShell設置、7月下旬にかけて侵害拡大の可能性
対象環境	山梨大学が契約する1台のレンタルサーバ
最初に確認された原因	Joomla拡張機能「JCE」の脆弱性悪用
確認された侵害	WebShell設置、不正ユーザー作成、不審ファイル設置、SEOスパム、SEOポイズニング
他サイトへの拡大	同一レンタルサーバ内で拡大した可能性が高い
個人情報	侵害サイトでは取り扱っていないと公表
情報流出	8月27日時点で確認されていません
復旧状況	安全性を確認したサイトから順次公開再開
関連するJCE脆弱性	CVE-2026-48907。ただし大学はCVE番号を明示していません
CVSS	CVE-2026-48907はCVSS v4.0 10.0（Critical）
KEV	CVE-2026-48907は2026年6月16日にCISA KEVへ追加
PoC・exploit	JCE開発元が動作するexploitコードの公開を確認
個人情報保護委員会への報告	公表資料からは確認できませんでした

6月上旬、JCEの脆弱性を悪用してWebShellを設置

山梨大学によると、侵害の起点となったのは2026年6月上旬です。

同大学が契約するレンタルサーバ上のあるWebサイトで、Joomla拡張機能「JCE」の脆弱性が悪用され、WebShellが設置されました。

大学は、このWebShellがその後の侵害拡大に利用された可能性が高いとしています。

ただし、最初に侵害されたWebサイト名、悪用されたJCEのバージョン、具体的な攻撃経路、攻撃者のIPアドレスなどは公表していません。

7月下旬にかけて同一レンタルサーバ上へ侵害拡大

山梨大学は、6月上旬に設置されたWebShellを利用し、7月下旬にかけて同じレンタルサーバ上の他サイトへ侵害が拡大した可能性が高いと説明しています。

7月中旬以降、複数のCMS利用サイトで、不正なユーザーの作成、WebShellなど不審ファイルの設置、SEOスパム、SEOポイズニングを確認しました。

今回、大学は単一サイトの改ざんではなく、共有するレンタルサーバ内で複数サイトへ侵害が広がった可能性を公表しています。

影響は1台のレンタルサーバ内、情報流出は確認されず

大学が公表した影響範囲は、契約している1台のレンタルサーバ内に開設されたWebサイトです。

侵害されたWebサイトでは個人情報や機微情報を取り扱っておらず、8月27日時点で情報流出も確認されていません。

したがって、本件について「山梨大学から個人情報が漏えいした」とすることはできません。

8月30日時点で公開されている対象サイト一覧には59サイトが掲載されています。このうち公開状態となっているのは3サイトで、残る56サイトは「閲覧不可」とされています。公開状況は復旧に応じて変わる可能性があります。

JCE側は6月3日にCritical脆弱性を修正

JCE開発元は2026年6月3日、「JCE Pro 2.9.99.5」をCritical Security Releaseとして公開しました。

同社によると、脆弱性によって認証されていない利用者がEditor Profileをアップロードでき、その設定を悪用して任意ファイルをサーバへアップロードできる可能性がありました。

影響するのはJCE 2.9.99.5より前のバージョンです。

この脆弱性にはCVE-2026-48907が割り当てられています。CVEレコードでは、認証されていないユーザーが新しいEditor Profileを作成でき、最終的にPHPコードのアップロードと実行につながる問題として整理されています。

CVSS v4.0は10.0（Critical）、CWEはCWE-284（Improper Access Control）です。

CVE-2026-48907は実際の攻撃で悪用、CISA KEVにも掲載

JCE開発元は6月12日の追加アドバイザリで、この脆弱性について実際の攻撃で悪用されていると警告しました。

さらに、動作するexploitコードが公開されており、攻撃が自動化されているため、ユーザー登録を一般公開していないサイトでも安全ではないとしています。

CVE-2026-48907は6月16日、CISAのKnown Exploited Vulnerabilities（KEV）Catalogにも追加されました。

CISAのVulnrichment情報ではExploitationを「active」、Automatableを「yes」、Technical Impactを「total」と評価しています。

本稿では悪用可能な具体的なURL、リクエスト、攻撃コード、実行手順は掲載しません。

山梨大学の侵害がCVE-2026-48907だったかは未確認

山梨大学が公表した侵害時期と、JCE側がCVE-2026-48907を公表・修正した時期は近接しています。

また、大学はJCEの脆弱性悪用によってWebShellが設置されたと説明しており、JCE開発元もCVE-2026-48907から任意ファイルのアップロードと実行につながることを公表しています。

一方、山梨大学の8月27日の告知には「CVE-2026-48907」という記載はありません。

利用していたJCEの具体的なバージョンやフォレンジック結果も公表されていないため、現時点で「山梨大学はCVE-2026-48907で侵害された」と断定することはできません。

JCEは更新だけでは侵害済みサイトを復旧できないと警告

JCE開発元が強く注意を呼びかけているのが、脆弱性を修正するだけでは侵害済みサイトを安全な状態へ戻せない点です。

アップデートによって新たな侵入経路を閉じることはできますが、攻撃者がすでにWebShellや不正アカウントなどを設置していた場合、それらは自動的には削除されません。

JCEは、不正なEditor Profile、不審なファイル、Webサーバのアクセスログなどを確認し、侵害が疑われる場合にはマルウェアスキャンや認証情報の変更などを行うよう案内しています。

山梨大学の事案でも、最初のWebサイトに設置されたWebShellが残存し、その後同じレンタルサーバ上の他サイトへ侵害が広がった可能性が高いとされています。

2.9.99.5で修正、その後も追加ハードニング

CVE-2026-48907自体はJCE 2.9.99.5で修正されました。

その後、6月8日の2.9.99.6では入力検証、アクセス制御、ファイル処理を中心とした追加のハードニングが実施されています。

JCEはさらに2.9.99.7以降でもアップロード処理やProfile Import周辺の防御強化を継続しました。

7月29日にはJCE Pro 2.9.99.10が公開され、別のファイルリネームに関する脆弱性CVE-2026-65891も修正されています。

そのため、CVE-2026-48907だけを修正する目的で古いバージョンへ留まるのではなく、利用可能であれば現在のサポート対象バージョンへ更新することが望まれます。

古いJoomla環境には無償パッチも提供

JCE 2.9.99.9以降を利用するにはPHP 7.4とJoomla 3.9以降が必要です。

古いJoomlaやPHP環境のためアップグレードできないサイト向けに、JCEは2.7.x、2.8.x、2.9.xを対象とする無償のSecurity Patchを公開しています。

ただし、このパッチはCVE-2026-48907の侵入経路を閉じるための暫定対応であり、2.9.99.6以降に追加されたハードニングは含まれません。

JCE自身も、EOLとなったPHPやJoomlaには別の未修正脆弱性が残る可能性があるため、サポート対象環境への移行を推奨しています。

情報システム部門への示唆

山梨大学の事案は、CMS拡張機能の脆弱性管理と、侵害後対応の両方の重要性を示しています。

CVE-2026-48907は認証を必要とせず、ネットワーク経由で悪用可能で、JCE開発元が自動化された攻撃を確認している脆弱性です。CISA KEVにも掲載されているため、JCEを利用する組織では優先度を上げて対応する必要があります。

まず、JoomlaサイトでJCEを利用しているか、利用している場合はバージョンが2.9.99.5未満ではないかを確認します。

ただし、更新だけで対応を完了してはいけません。脆弱な期間に外部公開されていたサイトでは、すでに不正なEditor Profile、WebShell、不正アカウントなどが作成されていないかを調査する必要があります。

特に共有サーバやレンタルサーバでは、侵害された1サイトだけではなく、同じ環境で動作する他サイトまで調査対象を広げるべきです。

CMS管理では、Joomla本体の更新だけでなく、JCEを含む拡張機能の資産台帳を作成し、バージョン、サポート期限、外部公開状況、KEV掲載の有無を継続的に把握することが重要です。

また、古いPHPやCMSの制約によってセキュリティ更新を適用できない環境は、個別パッチで長期間延命するのではなく、移行期限を定めたうえでサポート対象プラットフォームへ更新する必要があります。

出典

• レンタルサーバ上のWebサイト改ざんに関するお知らせ – 山梨大学 総合情報戦略機構
• レンタルサーバ対象Webサイトの公開状況一覧 – 山梨大学 総合情報戦略機構
• JCE security update, and a free patch for older sites – JCE
• JCE Pro 2.9.99.5 released – JCE
• JCE Editor Changelog – JCE
• Security Patch for JCE 2.7.x to 2.9.x – JCE
• CVE-2026-48907 – CVE Program
• CISA Known Exploited Vulnerabilities Catalog – CISA