JoomlaのサイトでYOOtheme Proを使っていますか？

保守担当と確認する、3つの判断

どんな機能？ 名前を知らなくても、使っているかも。

Joomlaは、Webサイトのページを管理するCMS（シーエムエス、記事や画像を管理する仕組み）です。YOOtheme Proは、ページのレイアウトや見た目を作る追加部品です。WordPress向けにも同名の製品があるため、製品名だけで判断せず、サイトが使うCMSと部品の版を一緒に確認します。

たとえば、会社案内の写真を差し替える仕事を制作会社に任せている場面です。管理画面に入れる人が社内にいなくても、契約先へ「うちのCMSはJoomlaですか。YOOtheme Proを使っていますか」と尋ねられます。

何が起きるおそれがある？

CVE（シーブイイー、脆弱性の識別番号）はCVE-2026-102785です。公開ページの画像を加工する機能で、許可された処理と保存先の確認が不十分でした。対象の画像処理に外から到達できると、ログインせずにファイルを意図しない場所へ置き、サーバー上で不正な処理を実行されるおそれがあります。

CVEを登録したJoomlaの機関は、CVSS（シーブイエスエス、深刻度を示す尺度）4.0で10.0、Critical（クリティカル、重大）と評価しています。Palo Alto NetworksのUnit 42（ユニット42）は10月26日、同じCVEの実悪用を観測したと報告しました。観測資料には両方のCMS名が出るため、版の表は登録情報で明示されたJoomla向けに限ります。JPCERT/CC（ジェイピーサート・シーシー）の11月5日週報は両CMS向けの拡張機能を取り上げており、WordPress側の確認は提供元と保守担当に依頼してください。

対象と、修正を分けて確認する。

影響するバージョン・条件

CVE登録情報の対象はJoomla向けYOOtheme Pro 5.0.0〜5.0.52です。JoomlaやWordPressの本体の版と、YOOtheme Proの版を区別して記録します。

修正版・更新先

YOOthemeの変更履歴では2026年10月21日公開の5.0.53に、このCVEの修正が入っています。保守担当が、利用環境でサポートされる5.0.53以降の版と正規の配布先を照合します。

あわせて知っておきたいこと

すぐに更新できない場合は、公開範囲を絞るか、一時停止や代替案内が必要かを保守担当と判断します。接続制限は更新までの暫定策です。JPMは個別サイトの設定・配布物・適用結果を確認していません。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   CMS・部品・版を同じ画面で確かめる

   稼働するCMSとYOOtheme Proの版、画像処理の公開範囲、更新を担当する会社を確認します。別の環境や古い納品資料の版を、いま動く版と取り違えないようにします。

2. 02

   消す前に記録を保全し、戻し方を決める

   不審なファイルや通信がある場合は、削除や上書きの前に、専門担当へ記録の保全と影響調査を依頼します。ページ・画像・設定・データベースの控えと、復元先、停止時間、作業量、代替の連絡手段を決めます。

3. 03

   修正版を反映し、閲覧と管理の両方を試す

   保守担当が検証環境で互換性を確かめてから更新します。反映後は部品の版に加え、公開ページの写真、問い合わせフォーム、管理側での編集・保存が動くかを確認します。障害時に脆弱な版を公開へ戻す前に、公開範囲と復元手順を責任者が判断します。

保守会社に、このまま聞けます。

当社サイトのCMSとYOOtheme Proの稼働版を確認してください。Joomla向け5.0.0〜5.0.52なら、CVE-2026-102785に対応する更新先、更新前のログの確認範囲、バックアップと戻し方、停止時間と工数、更新後に試す画面を教えてください。不審な記録がある場合の調査担当も確認したいです。

停止時間・費用・戻し方まで含む確認文をコピーする →