CMS「Joomla」本体に、二段階認証を回避されるおそれ（CVE-2026-92227）
ひとことで言うと：世界的に使われているCMS（コンテンツ管理システム）「Joomla」の本体に、管理画面の二段階認証（多要素認証）を回避されるおそれがある不具合が見つかりました。2026年9月29日に公開されたJoomla 6.1.4・5.4.9で修正されています。二段階認証を設定していれば安全、という前提そのものが崩れる種類の不具合のため、該当するサイトは優先的な更新が必要です。CMSの管理画面を「ビルの管理人室」とすると、受付（ログイン処理）が、顔認証ゲート（二段階認証）を通過する前の段階で、すでに入館証（ログイン保持のCookie）を手渡してしまっていた、という不具合です。
何が起きたか
Joomla開発チームは2026年9月29日、Joomla 6.1.4および5.4.9を公開し、本体の16件の安全上の不具合をまとめて修正しました。そのうちの1つ（CVE-2026-92227）は、ログイン時にJoomlaが発行する「ログイン状態を保持する」ためのCookie（いわゆる「rememberme」Cookie）が、二段階認証の確認が完了する前の段階で発行されてしまうというものです。この不具合を悪用されると、第三者がこのCookieを使って、二段階認証の2つ目の確認を経ないままログイン状態を得られてしまうおそれがあります。複数のセキュリティ情報サイトは、この不具合をCVSS 8.2（重要）相当と評価しています。ビルの管理人室の受付にたとえるなら、本来は「IDカードの提示」と「顔認証ゲートの通過」の両方を終えてから入館証を渡すはずなのに、受付の手順が前後してしまい、顔認証の前にうっかり入館証を手渡してしまっていた、というイメージです。その入館証（Cookie）さえ手にすれば、顔認証ゲートを一度も通らずに管理人室（管理画面）へ入れてしまいます。
誰に関係するか
Joomla本体のバージョンが次のいずれかの範囲にあるサイトが対象です。
- 4.0.0 〜 5.4.8
- 6.0.0 〜 6.1.3
特に、管理画面の二段階認証（多要素認証）を有効にしているサイトで影響が大きくなります。二段階認証を設定していないサイトは、この不具合自体の対象にはなりませんが、Joomla本体としては他の15件の不具合も同時に修正されているため、更新自体はすべてのJoomlaサイトにおすすめします。WordPressやEC-CUBEなど、Joomla以外のCMSを使っているサイトには当てはまりません。
何をすべきか
1. 自分のサイトがJoomlaかどうか、バージョンを確認する
サイトの制作・管理会社に、使っているCMSがJoomlaかどうか、Joomlaであればバージョンがいくつかを確認してください。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も使えます。
2. 未更新なら今すぐ更新する
5系であれば5.4.9以降に、6系であれば6.1.4以降に、できるだけ早く更新してください。
3. 二段階認証を使っている場合は優先的に対応する
管理画面で二段階認証（多要素認証）を設定している場合、この不具合はその保護を無効化しうるものです。他の不具合よりも優先して対応することをおすすめします。せっかく設置した顔認証ゲートが、受付の手順ミスで素通りされてしまっては意味がないため、優先度を上げて更新してください。
よくある質問
WordPressではなくJoomlaというCMSですか？
はい。JoomlaはWordPressと同じく世界的に使われているCMS（コンテンツ管理システム）の1つですが、WordPressとは別のソフトです。自分のサイトがJoomlaで作られているかどうかは、制作会社に確認するか、管理画面のログイン画面などで確認できます。
二段階認証を設定していなければ関係ありませんか？
この不具合は二段階認証（多要素認証）を回避されるというものなので、二段階認証を設定していない場合、この不具合自体の影響は受けません。ただし、二段階認証は本来サイトを守るための重要な機能のため、設定している場合は特に優先して更新してください。
何をすればいいですか？
Joomlaのバージョンを確認し、6系であれば6.1.4以降に、5系であれば5.4.9以降に更新してください。自分で確認できない場合は、サイトの制作・管理会社に確認を依頼してください。
参考にした公開情報
CVE番号・CVSS評価・修正版の対応関係は、Joomla公式のリリースアナウンスと複数の脆弱性データベースを突き合わせて確認したものです。Joomla公式の個別の不具合ページでは評価数値が明示されていなかったため、複数の第三者データベースの記載が一致する範囲で記載しています。この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。