概要

2026年11月13日、Patchstackおよびその他のセキュリティ研究機関が、複数のWordPressプラグインに深刻な脆弱性を公開しました。中でもUltimate Addons for Elementor Forms（CVSS 10.0）とDefender Security（2FA回避・IPスプーフィング）は即時対応が必要な重大な問題です。

脆弱性・脅威の詳細

① Ultimate Addons for Elementor Forms — 未認証の任意ファイルアップロード（CVSS 10.0）

Elementorフォームに機能拡張を追加する人気プラグイン「Ultimate Addons for Elementor Forms」のバージョン1.0.8未満に、認証不要の任意ファイルアップロード脆弱性が発見されました。攻撃者はログイン不要で悪意のあるPHPファイルをサーバーにアップロードし、リモートコード実行（RCE）が可能になります。CVSSスコアは最高値の10.0（Critical）です。

② Defender Security — 2段階認証（2FA）回避（CVSS 7.5）

WPMU DEV開発のセキュリティプラグイン「Defender Security」のバージョン6.4.1未満に、2FAバイパス脆弱性が存在します。本来は2段階認証を要求すべき認証フローに欠陥があり、攻撃者が2FA設定を回避してアカウントへの不正アクセスが可能になります。

③ Defender Security — IPアドレススプーフィング（バージョン4.9.0〜6.4.0）

同プラグインの未認証のIPアドレス偽装脆弱性も同時に公開されました。攻撃者はHTTPヘッダーを操作してIPアドレスを偽り、IPベースのブロック・レート制限・ログイン保護などのセキュリティ機能を回避できます。

④ TI WooCommerce Wishlist — 未認証のSQLインジェクション（CVSS 9.3）

WooCommerceのウィッシュリスト機能を提供する「TI WooCommerce Wishlist」プラグインのバージョン2.0.7未満に、認証不要のSQLインジェクション脆弱性が発見されました。CVSSスコアは9.3で、データベース内の任意のデータ取得や改ざんが可能になります。

⑤ Descope — 未認証のアカウント乗っ取り（CVSS 9.8）

シングルサインオン（SSO）・パスワードレス認証を実装する「Descope」プラグインのバージョン1.2.0未満に、認証不要のアカウント乗っ取り脆弱性が存在します。CVSSスコアは9.8で、攻撃者が任意のWordPressアカウントを乗っ取ることができます。

影響を受けるサイト

以下のプラグインを使用しているWordPressサイトは早急なアップデートが必要です：

• Ultimate Addons for Elementor Forms — バージョン1.0.8未満を使用しているサイト
• Defender Security（WPMU DEV） — バージョン6.4.1未満を使用しているサイト（特にWPMU DEVメンバーサイトに多い）
• TI WooCommerce Wishlist — バージョン2.0.7未満を使用しているECサイト
• Descope — バージョン1.2.0未満を使用しているサイト

推奨される対策

• 即時プラグインのアップデート
  WordPress管理画面「プラグイン → インストール済みプラグイン」から各プラグインを最新バージョンにアップデートしてください。対象バージョン: Ultimate Addons for Elementor Forms → 1.0.8以上、Defender Security → 6.4.1以上、TI WooCommerce Wishlist → 2.0.7以上、Descope → 1.2.0以上
• アップロードディレクトリのPHP実行を無効化
  /wp-content/uploads/ ディレクトリにPHPファイルが配置されても実行できないよう、.htaccessファイルでPHP実行を禁止することを推奨します。これはUltimate Addons for Elementor Formsのようなファイルアップロード脆弱性に対して有効な多層防御です。
• WAF（Webアプリケーションファイアウォール）の活用
  Wordfence、Patchstack、Sucuriなどのセキュリティプラグインを導入し、既知の攻撃パターンをブロックしてください。
• 不審なファイル・新規管理者アカウントの確認
  アップデート前に脆弱性が悪用されていた可能性を考慮し、/tmp や /wp-content/uploads/ に不審なPHPファイルがないか、管理者アカウントに未知のユーザーが追加されていないかを確認してください。
• アクセスログの監視
  過去7〜30日分のサーバーログを確認し、不審なリクエスト（ファイルアップロードエンドポイントへの異常なアクセスなど）がないかチェックしてください。

参考情報

・Patchstack Database: https://patchstack.com/database
・Defender Security脆弱性 (Patchstack): https://patchstack.com/database/wordpress/plugin/defender-security/vulnerabilities
・CVE-2026-123481 (WP Extended): https://radar.offseq.com/threat/cve-2026-123481
・Wordfence Threat Intel: https://www.wordfence.com/threat-intel/