概要
2026年11月3日、WordPressプラグイン計8件においてCVSSスコア9.0以上（Critical）の深刻な脆弱性が公開されました。これらの脆弱性は、認証不要（Unauthenticated）でのリモートコード実行（RCE）、任意ファイルアップロード、権限昇格、SQLインジェクションなど、攻撃者がサイトを完全に乗っ取る可能性があるものを含みます。
該当プラグインを使用しているWordPressサイト管理者は、直ちに最新バージョンへの更新を実施してください。
脆弱性・脅威の詳細
以下の8つのプラグインに重大な脆弱性が確認されています。
1. The Grid（CVE-2026-94169）— CVSS 10.0
影響バージョン：2.8.1以下
攻撃タイプ：リモートコード実行（RCE）
最も深刻なCVSS満点10.0の脆弱性。認証不要でリモートからコードを実行可能。
2. My Calendar（CVE-2026-104798）— CVSS 9.8
影響バージョン：3.8.7以下
攻撃タイプ：認証不要の権限昇格（mcsパラメータ経由のショートコードインジェクション）
攻撃者が管理者権限を奪取できる可能性があります。
3. ELEX WordPress HelpDesk & Customer Ticketing System（CVE-2026-103768）— CVSS 9.8
影響バージョン：3.3.7以下
攻撃タイプ：IMAPメール添付ファイル経由の任意ファイルアップロード
悪意あるファイルをサーバーにアップロードしてRCEに繋げる恐れがあります。
4. Mang Board（CVE-2026-109219）— CVSS 9.8
影響バージョン：2.4.4以下
攻撃タイプ：image_pathパラメータ経由の任意ファイルアップロード
認証不要で悪意あるファイルをサーバーに配置できます。
5. Theme My Login（CVE-2026-89079）— CVSS 9.8
影響バージョン：7.2.1以下
攻撃タイプ：user_pass1 POSTパラメータ経由の権限昇格
ログインフォームを悪用して管理者アカウントを作成・乗っ取る可能性があります。
6. MailOptin（CVE-2026-109515）— CVSS 9.8
影響バージョン：1.2.78.6以下
攻撃タイプ：form_custom_field_mappingsパラメータ経由の権限昇格
メールオプトインフォームを通じた権限昇格攻撃が可能です。
7. Sunshine Photo Cart（CVE-2026-104730）— CVSS 9.8
影響バージョン：3.7.4以下
攻撃タイプ：keyパラメータ経由のPHPオブジェクトインジェクション
悪意ある逆シリアライズオブジェクトを注入してコードを実行できます。
8. Green Popups（CVE-2026-94388）— CVSS 9.3
影響バージョン：7.6.3未満
攻撃タイプ：SQLインジェクション
修正済みバージョン：7.6.3（現時点で修正が確認されている唯一のプラグイン）
影響を受けるサイト
以下の条件に当てはまるWordPressサイトが対象です。
- 上記8プラグインのいずれかを対象バージョン以下でインストール・有効化しているサイト
- プラグインのアップデートを長期間実施していないサイト
- 不特定多数がアクセス可能な公開WordPressサイト
- ECサイト・会員サイトなど個人情報・決済情報を扱うサイト（被害が特に深刻になる可能性）
推奨される対策
- 即時プラグインアップデート
WordPress管理画面「プラグイン → インストール済みプラグイン」から各プラグインの最新バージョンへ更新してください。Green Popupsは7.6.3以上が必須です。 - 未使用プラグインの無効化・削除
使用していないプラグインは無効化するだけでなく、完全に削除することを推奨します。無効化されたプラグインのコードも攻撃対象になり得ます。 - Webアプリケーションファイアウォール（WAF）の導入
Wordfence、Sucuri等のWAFを導入し、既知の攻撃パターンをブロックしてください。 - アクセスログの確認
対象プラグインへの不審なリクエストがないかアクセスログを確認してください。特に/wp-admin/や各プラグインのエンドポイントへの異常なアクセスに注意が必要です。 - サイトバックアップの実施
アップデート前にサイト全体（ファイル＋データベース）のバックアップを必ず取得してください。 - 自動アップデートの有効化
プラグインの自動更新を有効にして、今後の脆弱性にも迅速に対応できる体制を整えてください。
参考情報
本記事は以下の情報源をもとに作成しました。
