概要
WordPressプラグイン「Confection WordPress Cable」に、CVSS 10.0（最高評価）の認証不要のリモートコード実行（RCE）脆弱性が発見されました（CVE-2026-115252）。攻撃者はWordPressへのログインなしに任意のPHPコードをサーバー上で実行可能であり、WPScanにより実際の悪用が確認されています。現時点でパッチは提供されておらず、即時の対策が必要です。
また同時期に、移行・バックアッププラグイン「Prime Mover」にもCVSS 9.8の深刻な脆弱性（CVE-2026-115806）が報告されています。
脆弱性・脅威の詳細
CVE-2026-115252: Confection WordPress Cable（CVSS 10.0 / Critical）
本脆弱性はCWE-94（コードインジェクション）とCWE-862（認可チェックの欠如）の組み合わせによるものです。
プラグインはプラグイン設定を保存する前に、ログイン状態の確認もnonceによるCSRFチェックも行いません。保存された設定はサーバー上の独立したPHPファイルにそのまま書き込まれ、Webサーバーがそのファイルを実行することで、攻撃者が投入した任意のPHPコードが動作します。
- 影響を受けるバージョン: 0.4.0〜0.4.7（全バージョン）
- CVSSスコア: 10.0（Critical）— ネットワーク経由・低複雑度・認証不要・ユーザー操作不要
- 悪用状況: WPScanにより実際の悪用が確認済み
- 修正バージョン: 現時点で未提供
CVE-2026-115806: Prime Mover（CVSS 9.8 / Critical）
WordPressの移行・バックアッププラグイン「Prime Mover」に、PHPオブジェクトインジェクション（CWE-502）の脆弱性が存在します。
未認証の訪問者がコメント欄にbase64エンコードされたシリアライズオブジェクトを挿入すると、管理者がプラグインのマイグレーション処理（search-and-replace）を実行した際にそのオブジェクトが処理され、WordPressのユーザー権限設定を改ざんすることが可能です。結果として、新規登録したアカウントが管理者権限を取得できる状態になります。
- 影響を受けるバージョン: 2.2.1以前
- CVSSスコア: 9.8（Critical）
- 修正バージョン: 2.2.2（推奨：即時アップデート）
- 発見者: Civitasmass（Wordfence経由で報告）
- CVE公開日: 2026年10月24日
影響を受けるサイト
以下の条件に該当するWordPressサイトは今すぐ対策が必要です。
- Confection WordPress Cable プラグイン（バージョン0.4.0〜0.4.7）をインストール・有効化しているサイト
- Prime Mover プラグイン（バージョン2.2.1以前）をインストールしているサイト（コメント機能が有効な場合は特に危険）
推奨される対策
- 【最優先】Confection WordPress Cableを即時無効化・削除
現時点でパッチが存在しないため、プラグインを無効化するだけでなく、完全に削除してください。公式プラグインディレクトリにパッチ版が公開され次第、アップデートを行ってください。
- Prime Moverをバージョン2.2.2以上にアップデート
管理画面の「プラグイン」→「更新」から即時アップデートを実施してください。アップデートが困難な場合は一時的に無効化・削除を検討してください。
- コメントの不審な内容を確認
Prime Moverを使用していた場合、長いbase64エンコード文字列を含むコメントが存在しないか確認し、疑わしいものは削除してください。
- WAF（Webアプリケーションファイアウォール）の活用
Wordfence等のWAFを導入し、プラグイン設定エンドポイントへの不審なアクセスをブロックしてください。
- ファイルの完全性チェック
Confection WordPress Cableを使用していた場合、プラグインが書き込んだPHPファイルに不審なコードが含まれていないか確認してください。
- ユーザーアカウントの審査
不審な管理者アカウントや権限変更がないか確認し、不要なアカウントは削除してください。
参考情報
・LocateRisk: CVE-2026-115252: PHP Code Execution in Confection WordPress Cable
・Safe.Security: CVE-2026-115806: Prime Mover PHP Object Injection
・Strix.ai: CVE-2026-115252 詳細情報
・WPScan Vulnerability Database: https://wpscan.com/
WordPressのハッキング修復はWPプロサポに
WP.復旧センターは「ハッキングされた」「表示がおかしい」「ログインできない」などのWordPressのトラブルをスピーディに修復します。
この記事を書いた人
Sho Suzuki
フロントエンドエンジニア / SEOプロフェッショナル
建築系の大学卒業後、芸術系の大学院を修了。その後、デジタルマーケティングを専門で行う企業にて約6年間フロントエンドエンジニアとして活躍する。同時期に、SEO対策に興味を持ち専門資格を多数取得する。
現在は、テクニカル記事の専属ライターとして多方面で活動中。
概要
2026年11月3日、WordPressプラグイン計8件においてCVSSスコア9.0以上（Critical）の深刻な脆弱性が公開されました。これらの脆弱性は、認証不要（Unauthenticated）でのリモートコード実行（RCE）、任意ファイルアップロード、権限昇格、SQLインジェクションなど、攻撃者がサイトを完全に乗っ取る可能性があるものを含みます。
該当プラグインを使用しているWordPressサイト管理者は、直ちに最新バージョンへの更新を実施してください。
脆弱性・脅威の詳細
以下の8つのプラグインに重大な脆弱性が確認されています。
1. The Grid（CVE-2026-94169）— CVSS 10.0
影響バージョン：2.8.1以下
攻撃タイプ：リモートコード実行（RCE）
最も深刻なCVSS満点10.0の脆弱性。認証不要でリモートからコードを実行可能。
2. My Calendar（CVE-2026-104798）— CVSS 9.8
影響バージョン：3.8.7以下
攻撃タイプ：認証不要の権限昇格（mcsパラメータ経由のショートコードインジェクション）
攻撃者が管理者権限を奪取できる可能性があります。
3. ELEX WordPress HelpDesk & Customer Ticketing System（CVE-2026-103768）— CVSS 9.8
影響バージョン：3.3.7以下
攻撃タイプ：IMAPメール添付ファイル経由の任意ファイルアップロード
悪意あるファイルをサーバーにアップロードしてRCEに繋げる恐れがあります。
4. Mang Board（CVE-2026-109219）— CVSS 9.8
影響バージョン：2.4.4以下
攻撃タイプ：image_pathパラメータ経由の任意ファイルアップロード
認証不要で悪意あるファイルをサーバーに配置できます。
5. Theme My Login（CVE-2026-89079）— CVSS 9.8
影響バージョン：7.2.1以下
攻撃タイプ：user_pass1 POSTパラメータ経由の権限昇格
ログインフォームを悪用して管理者アカウントを作成・乗っ取る可能性があります。
6. MailOptin（CVE-2026-109515）— CVSS 9.8
影響バージョン：1.2.78.6以下
攻撃タイプ：form_custom_field_mappingsパラメータ経由の権限昇格
メールオプトインフォームを通じた権限昇格攻撃が可能です。
7. Sunshine Photo Cart（CVE-2026-104730）— CVSS 9.8
影響バージョン：3.7.4以下
攻撃タイプ：keyパラメータ経由のPHPオブジェクトインジェクション
悪意ある逆シリアライズオブジェクトを注入してコードを実行できます。
8. Green Popups（CVE-2026-94388）— CVSS 9.3
影響バージョン：7.6.3未満
攻撃タイプ：SQLインジェクション
修正済みバージョン：7.6.3（現時点で修正が確認されている唯一のプラグイン）
影響を受けるサイト
以下の条件に当てはまるWordPressサイトが対象です。
- 上記8プラグインのいずれかを対象バージョン以下でインストール・有効化しているサイト
- プラグインのアップデートを長期間実施していないサイト
- 不特定多数がアクセス可能な公開WordPressサイト
- ECサイト・会員サイトなど個人情報・決済情報を扱うサイト（被害が特に深刻になる可能性）
推奨される対策
- 即時プラグインアップデート
WordPress管理画面「プラグイン → インストール済みプラグイン」から各プラグインの最新バージョンへ更新してください。Green Popupsは7.6.3以上が必須です。
- 未使用プラグインの無効化・削除
使用していないプラグインは無効化するだけでなく、完全に削除することを推奨します。無効化されたプラグインのコードも攻撃対象になり得ます。
- Webアプリケーションファイアウォール（WAF）の導入
Wordfence、Sucuri等のWAFを導入し、既知の攻撃パターンをブロックしてください。
- アクセスログの確認
対象プラグインへの不審なリクエストがないかアクセスログを確認してください。特に/wp-admin/や各プラグインのエンドポイントへの異常なアクセスに注意が必要です。
- サイトバックアップの実施
アップデート前にサイト全体（ファイル＋データベース）のバックアップを必ず取得してください。
- 自動アップデートの有効化
プラグインの自動更新を有効にして、今後の脆弱性にも迅速に対応できる体制を整えてください。
参考情報
本記事は以下の情報源をもとに作成しました。
WordPressのハッキング修復はWPプロサポに
WP.復旧センターは「ハッキングされた」「表示がおかしい」「ログインできない」などのWordPressのトラブルをスピーディに修復します。
この記事を書いた人
Sho Suzuki
フロントエンドエンジニア / SEOプロフェッショナル
建築系の大学卒業後、芸術系の大学院を修了。その後、デジタルマーケティングを専門で行う企業にて約6年間フロントエンドエンジニアとして活躍する。同時期に、SEO対策に興味を持ち専門資格を多数取得する。
現在は、テクニカル記事の専属ライターとして多方面で活動中。
概要
先月発覚したWordPress本体の脆弱性 CVE-2026-119977 を狙った攻撃が急増しています。
セキュリティ企業Wordfenceは、2026年10月28日〜11月6日の間に240,000回以上の攻撃を検知・ブロックしたと報告しました。最も攻撃が集中した10月30日だけで74,000件以上のリクエストが記録されています。
WordPress 7.1.4へのアップデートがまだの場合は、即時対応が必要です。
攻撃の実態
この脆弱性はWordPressのコアアップデーター処理中に生じる競合条件（TOCTOU）を悪用します。アップデート中に一時展開される wp-content/upgrade/ ディレクトリが公開状態になる瞬間を狙い、認証なしで wp-config.php を書き換えてサイトを乗っ取る攻撃です。
Wordfenceが観測した攻撃の推移：
- 10月28日：WordPress 7.1.4リリース（修正版公開）
- 10月30日：1日で74,000件超の攻撃をブロック（最大ピーク）
- 11月3日：CISAがKEVカタログへ登録、連邦機関に緊急対応を義務付け
- 11月6日：累計240,000回以上の攻撃をWordfenceが確認
- CVE番号：CVE-2026-119977
- CVSSスコア：8.1（High）
- 影響バージョン：WordPress 4.7 〜 7.1.3
- 修正バージョン：WordPress 7.1.4
- CISA KEV登録：2026年11月3日
影響を受けるサイト
- WordPress 4.7〜7.1.3を使用しているすべてのサイト
- 自動アップデートが無効になっているサイト
- 長期間アップデートを実施していないサイト
推奨される対策
-
WordPress 7.1.4へ即時アップデート
管理画面のダッシュボードまたはWP-CLIの wp core update で更新してください。
-
アップデート直後の確認事項
wp-content/upgrade/ へのPHPファイルアクセスのサーバーログ確認、wp-config.php の内容確認、見覚えのない管理者アカウントがないかチェックしてください。
-
Wordfenceなどのセキュリティプラグインを導入
ファイアウォールルールでこの脆弱性への攻撃をブロックします。すでに導入済みの場合はルールを最新状態に更新してください。
-
wp-content/upgrade/ へのアクセスをWebサーバーでブロック
アップデートが完了するまでの暫定対策として、nginxまたはApacheの設定でこのディレクトリへの外部アクセスを制限することを推奨します。
参考情報
出典：CoinCentral — 240,000 WordPress攻撃試行の報告
CISA KEVカタログ：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Picus Security分析：CVE-2026-119977 詳細分析
WordPressのハッキング修復はWPプロサポに
WP.復旧センターは「ハッキングされた」「表示がおかしい」「ログインできない」などのWordPressのトラブルをスピーディに修復します。
この記事を書いた人
Sho Suzuki
フロントエンドエンジニア / SEOプロフェッショナル
建築系の大学卒業後、芸術系の大学院を修了。その後、デジタルマーケティングを専門で行う企業にて約6年間フロントエンドエンジニアとして活躍する。同時期に、SEO対策に興味を持ち専門資格を多数取得する。
現在は、テクニカル記事の専属ライターとして多方面で活動中。
概要
Contact Form 7の拡張プラグイン「Ultra Addons for Contact Form 7」のPDFジェネレーター機能に、深刻な脆弱性が発見されました（CVE-2026-102435、CVSS 9.8）。
この脆弱性を悪用すると、認証なしで任意のファイルを削除できます。攻撃者が wp-config.php を削除した場合、WordPressが再インストール状態になり、そのままリモートコード実行（RCE）につながる危険性があります。
脆弱性・脅威の詳細
脆弱なのはPDFジェネレーターアドオン内の _getObjAttr 関数で、ファイルパスの検証が不十分なために起きます。
攻撃の流れは以下のとおりです。
- 攻撃者がPDFジェネレーター機能のエンドポイントに細工したリクエストを送信
- サーバー上の任意のファイルを削除（
wp-config.php を含む）
wp-config.php が消えるとWordPressが初期セットアップ画面を表示- 攻撃者が新しい管理者アカウントを作成し、サイトを乗っ取る
- CVE番号：CVE-2026-102435
- CVSSスコア：9.8（Critical）
- 影響バージョン：Ultra Addons for Contact Form 7 3.5.54以下
- 攻撃の前提条件：PDFジェネレーターアドオンが有効、かつPDF生成フォームが設定されている
- 認証：不要（未認証での攻撃が可能）
影響を受けるサイト
以下の条件に当てはまるWordPressサイトが対象です。
- 「Ultra Addons for Contact Form 7」バージョン3.5.54以下をインストールしているサイト
- PDFジェネレーターアドオンが有効になっているサイト
- Contact Form 7でPDF生成フォームを設置しているサイト
推奨される対策
-
即時アップデートまたは無効化
修正バージョンが提供されている場合は最新版に更新してください。修正版が未リリースの場合は、プラグインを即時無効化・削除することを推奨します。
-
PDFジェネレーターアドオンの確認
このアドオンが有効かどうか不明な場合はプラグイン全体を無効化し、Webエンジニアに調査を依頼してください。
-
wp-config.php の存在確認
サーバーにアクセスし、wp-config.php が残っているか確認してください。削除されていた場合はWordPressが再セットアップ状態になっている可能性があります。
-
管理者アカウントの確認
見覚えのない管理者アカウントが追加されていないか、WordPress管理画面 → ユーザーで確認してください。
参考情報
出典：The Small Business Cybersecurity Guy — WordPress Vulnerabilities November 2026
NVD：CVE-2026-102435 詳細
WordPressのハッキング修復はWPプロサポに
WP.復旧センターは「ハッキングされた」「表示がおかしい」「ログインできない」などのWordPressのトラブルをスピーディに修復します。
この記事を書いた人
Sho Suzuki
フロントエンドエンジニア / SEOプロフェッショナル
建築系の大学卒業後、芸術系の大学院を修了。その後、デジタルマーケティングを専門で行う企業にて約6年間フロントエンドエンジニアとして活躍する。同時期に、SEO対策に興味を持ち専門資格を多数取得する。
現在は、テクニカル記事の専属ライターとして多方面で活動中。
概要
WordPress本体のコアアップデーター機能に、深刻な競合条件の脆弱性が発見されました。
この脆弱性（CVE-2026-119977）は、CISA の Known Exploited Vulnerabilities（KEV）カタログに 2026年11月3日付で登録されており、実際の攻撃が確認されています。
影響を受けるバージョンは WordPress 4.7 〜 7.1.3 で、修正版の 7.1.4 が 2026年10月28日にリリースされています。
脆弱性の詳細
この脆弱性は TOCTOU（Time-of-Check to Time-of-Use）競合条件 と呼ばれる攻撃手法を利用します。
アップデート処理中、WordPress は一時ファイルを wp-content/upgrade/ ディレクトリに展開します。このパスは予測可能で、ウェブから直接アクセスできる状態になります。
一時インストーラーはライブ環境の wp-config.php を参照できないため、攻撃者がアップデートのタイミングを狙って独自のデータベース情報を送信すると、攻撃者の wp-config.php が本番環境のものに上書きされます。その後、攻撃者は管理者アカウントを作成し、悪意のあるプラグインをアップロードしてリモートコード実行（RCE）を達成できます。認証は一切不要です。
- CVE番号：CVE-2026-119977
- CVSSスコア：8.1（High）
- 攻撃の複雑さ：高（タイミングの競争に勝つ必要あり）
- 影響バージョン：WordPress 4.7 〜 7.1.3
- 修正バージョン：WordPress 7.1.4
- 発見者：Picus Security の Umut Bayram 氏
影響を受けるサイト
WordPress 4.7 から 7.1.3 を使用しているすべてのサイトが対象です。
特に以下のようなサイトはリスクが高い状態です。
- 自動アップデートが無効になっているサイト
- アップデートを手動で管理しているサイト
- 長期間アップデートを実施していないサイト
CISAは米国連邦民間機関（FCEB）に対し 2026年11月6日 までの修正を義務付けており、民間サイトにも即時対応を強く推奨しています。
推奨される対策
-
即時アップデートを実施する
WordPress 7.1.4（または各ブランチ向けバックポート版）に更新してください。バージョンは管理画面、またはWP-CLIの wp core version コマンドで確認できます。
-
アップデートが困難な場合の暫定対応
Webサーバーの設定で wp-content/upgrade/ へのウェブアクセスをブロックしてください（nginx・Apache いずれも設定可能）。
-
侵害の痕跡を確認する
アップデート後は wp-content/upgrade/ 配下へのPHPファイルアクセスログ、wp-config.php の変更有無、管理者アカウントの追加、不審なプラグインのインストールがないか確認してください。
-
不審な点が見つかった場合
すべての認証情報（DBパスワード、管理者パスワード、シークレットキーなど）を速やかに変更してください。
参考情報
出典：Shattered.io — CVE-2026-119977 詳細分析
CISA KEVカタログ：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
WordPressのハッキング修復はWPプロサポに
WP.復旧センターは「ハッキングされた」「表示がおかしい」「ログインできない」などのWordPressのトラブルをスピーディに修復します。
この記事を書いた人
Sho Suzuki
フロントエンドエンジニア / SEOプロフェッショナル
建築系の大学卒業後、芸術系の大学院を修了。その後、デジタルマーケティングを専門で行う企業にて約6年間フロントエンドエンジニアとして活躍する。同時期に、SEO対策に興味を持ち専門資格を多数取得する。
現在は、テクニカル記事の専属ライターとして多方面で活動中。
