Akeeba Backup・Akeeba Solo・Admin Tools の複数製品に CSRF の脆弱性、ログイン中に細工されたページを開くと意図しない操作をされる恐れ（CVE-2026-105296・Backup for Joomla! 10.3.7 より前ほか）

Akeeba の Akeeba Backup for Joomla!・Akeeba Backup for WordPress・Akeeba Solo・Admin Tools for Joomla! に、一部の操作で CSRF（クロスサイト・リクエスト・フォージェリ）対策のトークンを確認していない脆弱性（CVE-2026-105296）が公表されました。製品にログインしたまま細工されたページを開くと、意図しない操作をされる恐れがあります。評価は CVSS v3.0 で 5.4（v4.0 で 5.1）です。JPCERT/CC は JVN#44272550 として 2026-11-04 に公開しました。

内容

JVN は「クロスサイトリクエストフォージェリ（CWE-352）」と説明し、一部の操作で CSRF 対策のトークンを正しく確認していないとしています。NVD の説明（登録元は JPCERT/CC）も同じ内容です。ログインしている利用者が悪意のあるページにアクセスすると、製品上で意図しない操作が行われる可能性があります。どの操作が対象かは JVN に書かれていません（未確認）。CVSS は認証不要（PR:N）ですが、利用者の操作が必要（UI:R）で、影響は機密性・完全性が「低」です。本稿は公開情報を読んだだけで、再現はしていません。

影響を受ける範囲

次の製品の、それぞれ記載のバージョンより前が対象です。

• Akeeba Backup for Joomla! 10.3.7 より前
• Akeeba Backup for WordPress 9.1.8 より前
• Akeeba Solo 9.1.8 より前
• Admin Tools for Joomla! 7.9.0 より前

評価

指標	値
CVSS v3.0（JVN）	5.4 AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
CVSS v4.0（JVN）	5.1 AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
CWE	CWE-352（クロスサイトリクエストフォージェリ）
EPSS（FIRST・11/6 時点）	0.0012（パーセンタイル 0.016）
CISA KEV	掲載なし（11/7 確認）

• NVD は 2026-11-04 に登録しましたが、確認時点では状態が「Received」（NVD 自身の評価は未実施）です。
• 利用者のクリックなどの操作が前提で、影響は低に分類されています。当サイトの基準では medium を案とします。

修正と回避策

• 修正: 上記の各バージョン（Backup for Joomla! 10.3.7、Backup for WordPress と Solo は 9.1.8、Admin Tools for Joomla! 7.9.0）。JVN は「開発者が提供する情報をもとに、最新版にアップデートしてください」としています。
• 開発元は、Backup・Solo・Admin Tools のリリースに関するセキュリティ強化の案内（2026-07-30 付）を出しており、JVN は開発元が自ら脆弱性を見つけて修正版を準備していたとしています。案内と本件の対応関係の細部は未確認です。
• 回避策: JVN に記載なし（未確認）。更新までは、管理画面にログインしたまま他のサイトを閲覧しないようにします。

利用者が考えられること

1. 使っている製品とバージョンを確認し、上の修正版より前なら更新します。
2. 管理画面の作業が終わったらログアウトし、管理画面にログインしたまま見知らぬリンクを開かないようにします。
3. バックアップの設定や保存先に心当たりのない変更がないか、念のため確認します。

未確認の点

• 悪用の有無（CISA KEV に掲載なし。JVN にも悪用の記載なし）。
• CSRF の対象になる具体的な操作、各修正版の公開日と変更内容、回避策、NVD 自身の評価。
• JVN は、報告が情報セキュリティ早期警戒パートナーシップに基づいて IPA に届けられ、JPCERT/CC が調整したとしています。報告者の個人名は本稿に載せていません。