【緊急・悪用確認済】WordPressプラグイン「Confection WordPress Cable」にCVSS 10.0の認証不要RCE脆弱性 CVE-2026-115252 — 即時削除・対策を推奨 - WordPress(ワードプレス)復旧・改ざんハッキング修復・トラブル対応

概要

WordPressプラグイン「Confection WordPress Cable」に、CVSS 10.0（最高評価）の認証不要のリモートコード実行（RCE）脆弱性が発見されました（CVE-2026-115252）。攻撃者はWordPressへのログインなしに任意のPHPコードをサーバー上で実行可能であり、WPScanにより実際の悪用が確認されています。現時点でパッチは提供されておらず、即時の対策が必要です。

また同時期に、移行・バックアッププラグイン「Prime Mover」にもCVSS 9.8の深刻な脆弱性（CVE-2026-115806）が報告されています。

脆弱性・脅威の詳細

CVE-2026-115252: Confection WordPress Cable（CVSS 10.0 / Critical）

本脆弱性はCWE-94（コードインジェクション）とCWE-862（認可チェックの欠如）の組み合わせによるものです。

プラグインはプラグイン設定を保存する前に、ログイン状態の確認もnonceによるCSRFチェックも行いません。保存された設定はサーバー上の独立したPHPファイルにそのまま書き込まれ、Webサーバーがそのファイルを実行することで、攻撃者が投入した任意のPHPコードが動作します。

影響を受けるバージョン: 0.4.0〜0.4.7（全バージョン）
CVSSスコア: 10.0（Critical）— ネットワーク経由・低複雑度・認証不要・ユーザー操作不要
悪用状況: WPScanにより実際の悪用が確認済み
修正バージョン: 現時点で未提供

CVE-2026-115806: Prime Mover（CVSS 9.8 / Critical）

WordPressの移行・バックアッププラグイン「Prime Mover」に、PHPオブジェクトインジェクション（CWE-502）の脆弱性が存在します。

未認証の訪問者がコメント欄にbase64エンコードされたシリアライズオブジェクトを挿入すると、管理者がプラグインのマイグレーション処理（search-and-replace）を実行した際にそのオブジェクトが処理され、WordPressのユーザー権限設定を改ざんすることが可能です。結果として、新規登録したアカウントが管理者権限を取得できる状態になります。

影響を受けるバージョン: 2.2.1以前
CVSSスコア: 9.8（Critical）
修正バージョン: 2.2.2（推奨：即時アップデート）
発見者: Civitasmass（Wordfence経由で報告）
CVE公開日: 2026年10月24日

影響を受けるサイト

以下の条件に該当するWordPressサイトは今すぐ対策が必要です。

Confection WordPress Cable プラグイン（バージョン0.4.0〜0.4.7）をインストール・有効化しているサイト
Prime Mover プラグイン（バージョン2.2.1以前）をインストールしているサイト（コメント機能が有効な場合は特に危険）

推奨される対策

【最優先】Confection WordPress Cableを即時無効化・削除
現時点でパッチが存在しないため、プラグインを無効化するだけでなく、完全に削除してください。公式プラグインディレクトリにパッチ版が公開され次第、アップデートを行ってください。
Prime Moverをバージョン2.2.2以上にアップデート
管理画面の「プラグイン」→「更新」から即時アップデートを実施してください。アップデートが困難な場合は一時的に無効化・削除を検討してください。
コメントの不審な内容を確認
Prime Moverを使用していた場合、長いbase64エンコード文字列を含むコメントが存在しないか確認し、疑わしいものは削除してください。
WAF（Webアプリケーションファイアウォール）の活用
Wordfence等のWAFを導入し、プラグイン設定エンドポイントへの不審なアクセスをブロックしてください。
ファイルの完全性チェック
Confection WordPress Cableを使用していた場合、プラグインが書き込んだPHPファイルに不審なコードが含まれていないか確認してください。
ユーザーアカウントの審査
不審な管理者アカウントや権限変更がないか確認し、不要なアカウントは削除してください。

参考情報

・LocateRisk: CVE-2026-115252: PHP Code Execution in Confection WordPress Cable
・Safe.Security: CVE-2026-115806: Prime Mover PHP Object Injection
・Strix.ai: CVE-2026-115252 詳細情報
・WPScan Vulnerability Database: https://wpscan.com/