WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/03/26-2026/04/01 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 4件
プラグイン: Query Monitor
| 対象製品 | Query Monitor |
| 対象バージョン | 3.20.3までの全てのバージョン |
| 修正バージョン | 3.20.4 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 3.20.3までの全バージョンに、$_SERVER['REQUEST_URI'] パラメータにおける入力値のサニタイズおよび出力時のエスケープ処理が不十分であることによる反射型クロスサイトスクリプティング（Reflected Cross-Site Scripting）の脆弱性が存在します。 認証されていない攻撃者が、ユーザーにリンクのクリックなどの操作を行わせることで、ページへ任意のウェブスクリプトを挿入し、そのスクリプトを実行させることが可能となります。 |
| 対応方法 | 3.20.4以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-4267 |
| 公開日 | 2026-03-30 23:21:22 (2026-03-31 11:29:50更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/0b75cad9-9f76-4839-8eb2-40d84662846d |
プラグイン: MW WP Form
| 対象製品 | MW WP Form |
| 対象バージョン | 5.1.0までの全てのバージョン |
| 修正バージョン | 5.1.1 |
| CVSS | 高 (8.1) |
| 脆弱性概要 | 5.1.0までの全バージョンに、generate_user_filepath 関数および move_temp_file_to_upload_dir 関数におけるファイルパス検証が不十分であることによる任意のファイル移動の脆弱性が存在します。 認証されていない攻撃者が、サーバー上の任意のファイルを移動させることが可能となり、適切なファイル（例：wp-config.php）が対象となった場合にはリモートコード実行につながる可能性があります。なお、本脆弱性はフォームにファイルアップロードフィールドが追加されており、「Saving inquiry data in database」オプションが有効化されている場合にのみ悪用可能です。 |
| 対応方法 | 5.1.1以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-4347 |
| 公開日 | 2026-04-01 16:50:15 (2026-04-01 16:50:18更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/194ee4a0-87c3-42e5-9676-8dd355838b78 |
プラグイン: W3 Total Cache
| 対象製品 | W3 Total Cache |
| 対象バージョン | 2.9.3までの全てのバージョン |
| 修正バージョン | 2.9.4 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 2.9.3までの全バージョンに、情報漏えいの脆弱性が存在します。これは、リクエストのUser-Agentヘッダに「W3 Total Cache」を含めた場合に、プラグインの出力バッファリングおよび処理パイプラインが完全にバイパスされ、mfunc/mcludeによる動的フラグメントのHTMLコメント（W3TC_DYNAMIC_SECURITY セキュリティトークンを含む）がそのままページソースに出力されることによるものです。 認証されていない攻撃者が、動的フラグメントタグを含むページに対して細工したUser-Agentヘッダを送信することで、W3TC_DYNAMIC_SECURITY 定数の値を取得することが可能となります。なお、本脆弱性はフラグメントキャッシュ機能が有効化されている場合にのみ悪用可能です。 |
| 対応方法 | 2.9.4以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-5032 |
| 公開日 | 2026-04-01 19:07:11 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a65eb62d-847b-4f3a-848b-1290e3118c01 |
プラグイン: Ultimate Member
| 対象製品 | Ultimate Member |
| 対象バージョン | 2.11.2までの全てのバージョン |
| 修正バージョン | 2.11.3 |
| CVSS | 高 (8) |
| 脆弱性概要 | 2.11.2までの全バージョンに、機密情報の露出（Sensitive Information Exposure）の脆弱性が存在します。これは、[um_loggedin] ショートコードを通じて投稿コンテンツ内で {usermeta:password_reset_link} テンプレートタグが処理され、ページを閲覧したログインユーザーに対する有効なパスワードリセットトークンが生成されることによるものです。 寄稿者以上の権限を持つユーザーで認証済みの場合に、悪意のある保留中の投稿を作成し、それを管理者がプレビューした際に管理者のパスワードリセットトークンを生成させ、攻撃者のサーバーへ送信することで、管理者アカウントを完全に乗っ取ることが可能となります。 |
| 対応方法 | 2.11.3以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-4248 |
| 公開日 | 2026-03-27 09:48:30 (2026-03-27 22:26:22更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/baafd001-144d-4ee4-b7e6-28c0931e6e10 |
他の脆弱性: 10件
プラグイン: WP Statistics
| 対象製品 | WP Statistics |
| 対象バージョン | 14.13.3までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、プラグインの任意の設定を更新することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/07f7ef07-0f14-4b74-8d47-d5dece4954b0 |
プラグイン: MC4WP: Mailchimp for WordPress
| 対象製品 | MC4WP: Mailchimp for WordPress |
| 対象バージョン | 4.0.11までの全てのバージョン |
| 脆弱性概要 | Integrations設定のページにクロスサイトスクリプティングの脆弱性が存在する。 ※影響範囲・内容の詳細は記載されていない。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/1c074e03-b452-4aea-aa1d-36657ba311e1 |
プラグイン: WP Shortcodes Plugin — Shortcodes Ultimate
| 対象製品 | WP Shortcodes Plugin — Shortcodes Ultimate |
| 対象バージョン | 7.4.10までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/61ab7a28-bcca-41ff-89d1-c083c6b0d39f |
プラグイン: ShortPixel Image Optimizer
| 対象製品 | ShortPixel Image Optimizer |
| 対象バージョン | 6.4.3までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済みの場合に、任意のウェブスクリプトを挿入することが可能となり、汚染された添付ファイルに対して ShortPixel AI のエディタポップアップ（背景除去や画像アップスケール）を管理者などの高権限ユーザーが開いた際に、そのスクリプトが実行される可能性がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a156234f-2644-4d17-aaa5-4f088cf48f73 |
プラグイン: Elementor Website Builder
| 対象製品 | Elementor Website Builder |
| 対象バージョン | 3.35.7までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、elementor_ajax エンドポイントの get_template_data アクションに渡される template_id を操作することで、非公開または下書き状態の Elementor テンプレートの内容を読み取ることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a4420935-4952-4460-afc2-1c6df6965b3d |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.4までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b6f7c4c8-210f-4bbb-8352-5c2e550e44c3 |
プラグイン: WooPayments: Integrated WooCommerce Payments
| 対象製品 | WooPayments: Integrated WooCommerce Payments |
| 対象バージョン | 10.5.1までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、プラグインの設定を更新することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/cec13225-baa3-4f26-b2d2-af6106888c74 |
プラグイン: Ninja Forms
| 対象製品 | Ninja Forms |
| 対象バージョン | 3.14.1までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、任意のフォームの送信内容を閲覧するための認可トークンを取得することが可能となり、機密情報が漏えいする可能性がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/df4f4358-af6a-4a1a-bb83-afe31b3cdb9f |
プラグイン: Smart Slider 3
| 対象製品 | Smart Slider 3 |
| 対象バージョン | 3.5.1.33までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、サーバー上の任意のファイルの内容を読み取ることが可能となり、機密情報が取得される可能性がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/e2ce9caf-2ca2-401c-acc7-76be2fd72f36 |
プラグイン: Loco Translate
| 対象製品 | Loco Translate |
| 対象バージョン | 2.8.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、ユーザーにリンクのクリックなどの操作を行わせることで、ページへ任意のウェブスクリプトを挿入し、そのスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/faa6c744-7586-47ee-b2ce-af972ee8b4f7 |
総括
この期間内に報告された脆弱性14件のうち、5件は認証されていない攻撃者に影響を受ける脆弱性で、8件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。また、1件は影響範囲が公開されていません。
深刻度が高い脆弱性としては、反射型クロスサイトスクリプティング（XSS）、任意ファイルの移動によるリモートコード実行、情報漏えい、認証トークンの不適切な生成によるアカウント乗っ取りなどが確認されています。特に、未認証の攻撃者によるスクリプト実行やファイル操作、ならびに寄稿者権限から管理者アカウントの乗っ取りにつながる脆弱性は影響範囲が大きく、注意が必要です。また、一部の脆弱性は特定の設定や機能（ファイルアップロード機能やキャッシュ機能など）が有効な場合にのみ成立しますが、該当環境では重大な被害につながる可能性があります。
その他の脆弱性としては、低権限ユーザーによる設定変更、不正操作、機密情報の取得、ならびに複数のプラグインにおけるXSSの問題が確認されています。これらは単体では限定的な影響にとどまる場合もありますが、組み合わせることで権限昇格や情報漏えいのリスクを高める可能性があります。
全体として、未認証または低権限から悪用可能な脆弱性が多く含まれており、情報漏えいや不正操作、アカウント乗っ取りといった重大なセキュリティリスクが存在します。該当プラグインを利用している場合は、速やかに修正バージョンへのアップデートを実施するとともに、不要な機能の無効化や権限設定の見直しなど、基本的なセキュリティ対策を徹底することが重要です。
