---
title: "Akeeba Backup・Akeeba Solo・Admin Tools の複数製品に CSRF の脆弱性、ログイン中に細工されたページを開くと意図しない操作をされる恐れ（CVE-2026-105296・Backup for Joomla! 10.3.7 より前ほか）"
url: https://n-t-p.io/worldsecurity/articles/akeeba-backup-solo-admin-tools-cve-2026-105296-csrf-multiple-products
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 中
cve: CVE-2026-105296
---

# Akeeba Backup・Akeeba Solo・Admin Tools の複数製品に CSRF の脆弱性、ログイン中に細工されたページを開くと意図しない操作をされる恐れ（CVE-2026-105296・Backup for Joomla! 10.3.7 より前ほか）

> **TL;DR:** Akeeba Backup（Joomla!・WordPress）・Akeeba Solo・Admin Tools for Joomla! の複数製品で、一部の操作に CSRF 対策のトークン確認がなく、ログイン中に細工されたページを開くと意図しない操作をされる恐れ（CVE-2026-105296・CVSS v3.0 5.4・JVN#44272550）。利用者の操作が必要。各製品の最新版で修正。

**要点**
- JVN#44272550（2026-11-04 公開）: Akeeba Backup for Joomla! 10.3.7 より前、Backup for WordPress と Solo 9.1.8 より前、Admin Tools for Joomla! 7.9.0 より前が、一部の操作で CSRF 対策のトークンを確認していない（CVE-2026-105296・CWE-352）。
- ログイン中の利用者が悪意のあるページを開くと、製品上で意図しない操作が行われる恐れ。認証は不要だが利用者の操作が必要（PR:N・UI:R）。対象の操作は JVN に記載なし（未確認）。
- 評価は CVSS v3.0 で 5.4（v4.0 で 5.1）。severity 案は medium。NVD 自身の評価は未実施（Received）。EPSS 0.0012、CISA KEV 掲載なし。
- 修正は各製品の最新版（上記バージョン）。回避策の記載はなく、更新までは管理画面にログインしたまま他のサイトを見ないことが当面の注意。
- 悪用の有無、対象の具体的な操作、各修正版の変更内容、回避策は未確認。本稿は公開情報の読み取りで、再現はしていない。

Akeeba の **Akeeba Backup for Joomla!**・**Akeeba Backup for WordPress**・**Akeeba Solo**・**Admin Tools for Joomla!** に、一部の操作で CSRF（クロスサイト・リクエスト・フォージェリ）対策のトークンを確認していない脆弱性（**CVE-2026-105296**）が公表されました。製品にログインしたまま細工されたページを開くと、意図しない操作をされる恐れがあります。評価は CVSS v3.0 で **5.4**（v4.0 で 5.1）です。JPCERT/CC は **JVN#44272550** として 2026-11-04 に公開しました。

## 内容
JVN は「クロスサイトリクエストフォージェリ（CWE-352）」と説明し、一部の操作で CSRF 対策のトークンを正しく確認していないとしています。NVD の説明（登録元は JPCERT/CC）も同じ内容です。ログインしている利用者が悪意のあるページにアクセスすると、製品上で意図しない操作が行われる可能性があります。どの操作が対象かは JVN に書かれていません（未確認）。CVSS は認証不要（PR:N）ですが、利用者の操作が必要（UI:R）で、影響は機密性・完全性が「低」です。本稿は公開情報を読んだだけで、再現はしていません。

## 影響を受ける範囲
次の製品の、それぞれ記載のバージョンより前が対象です。
- **Akeeba Backup for Joomla!** 10.3.7 より前
- **Akeeba Backup for WordPress** 9.1.8 より前
- **Akeeba Solo** 9.1.8 より前
- **Admin Tools for Joomla!** 7.9.0 より前

## 評価
| 指標 | 値 |
|---|---|
| CVSS v3.0（JVN） | **5.4** `AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N` |
| CVSS v4.0（JVN） | 5.1 `AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N` |
| CWE | CWE-352（クロスサイトリクエストフォージェリ） |
| EPSS（FIRST・11/6 時点） | 0.0012（パーセンタイル 0.016） |
| CISA KEV | 掲載なし（11/7 確認） |

- NVD は 2026-11-04 に登録しましたが、確認時点では状態が「Received」（NVD 自身の評価は未実施）です。
- 利用者のクリックなどの操作が前提で、影響は低に分類されています。当サイトの基準では **medium** を案とします。

## 修正と回避策
- 修正: 上記の各バージョン（Backup for Joomla! 10.3.7、Backup for WordPress と Solo は 9.1.8、Admin Tools for Joomla! 7.9.0）。JVN は「開発者が提供する情報をもとに、最新版にアップデートしてください」としています。
- 開発元は、Backup・Solo・Admin Tools のリリースに関するセキュリティ強化の案内（2026-07-30 付）を出しており、JVN は開発元が自ら脆弱性を見つけて修正版を準備していたとしています。案内と本件の対応関係の細部は未確認です。
- 回避策: JVN に記載なし（未確認）。更新までは、管理画面にログインしたまま他のサイトを閲覧しないようにします。

## 利用者が考えられること
1. 使っている製品とバージョンを確認し、上の修正版より前なら更新します。
2. 管理画面の作業が終わったらログアウトし、管理画面にログインしたまま見知らぬリンクを開かないようにします。
3. バックアップの設定や保存先に心当たりのない変更がないか、念のため確認します。

## 未確認の点
- 悪用の有無（CISA KEV に掲載なし。JVN にも悪用の記載なし）。
- CSRF の対象になる具体的な操作、各修正版の公開日と変更内容、回避策、NVD 自身の評価。
- JVN は、報告が情報セキュリティ早期警戒パートナーシップに基づいて IPA に届けられ、JPCERT/CC が調整したとしています。報告者の個人名は本稿に載せていません。


## 出典
- [JVN#44272550 Akeeba製品における複数のクロスサイトリクエストフォージェリの脆弱性](https://jvn.jp/jp/JVN44272550/) — JPCERT/CC（JVN）
- [Akeeba Backup for Joomla! ダウンロード](https://www.akeeba.com/download/akeeba-backup.html) — Akeeba Ltd.
- [NVD CVE-2026-105296](https://nvd.nist.gov/vuln/detail/CVE-2026-105296) — NIST NVD
- [FIRST EPSS CVE-2026-105296](https://api.first.org/data/v1/epss?cve=CVE-2026-105296) — FIRST
- [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/akeeba-backup-solo-admin-tools-cve-2026-105296-csrf-multiple-products