WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/05/21-2026/05/27 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 3件
プラグイン: LiteSpeed Cache
| 対象製品 | LiteSpeed Cache |
| 対象バージョン | 7.7までの全てのバージョン |
| 修正バージョン | 7.8 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 7.7までの全てのバージョンにおいて、'/wp-json/litespeed/v1/notify_ccss' および '/wp-json/litespeed/v1/notify_ucss' REST APIエンドポイントを介した蓄積型クロスサイトスクリプティングの脆弱性が存在する。これらのエンドポイントはQUIC.cloudのコールバック通知からCSSコンテンツを受け取り、サニタイズせずにディスクへ保存する。保存されたコンテンツはその後、出力エスケープなしでフロントエンドのページ読み込み時にインラインでレンダリングされる。これらのエンドポイントを保護するアクセス制御はIPベースの検証であり、WordPressサイトがリバースプロキシ・ロードバランサー・特定の設定のCDNの背後に配置されている場合に迂回される可能性がある。特定の条件下で、認証されていない攻撃者がCCSS/UCSSコンテンツに任意のJavaScriptを挿入することが可能となる。 |
| 対応方法 | 7.8以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-3375 |
| 公開日 | 2026-05-26 00:00:00 (2026-05-27 07:45:55更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/40fa29f5-525a-4986-91f9-0210a7594e46 |
プラグイン: WPCode
プラグイン: WooCommerce PayPal Payments
| 対象製品 | WooCommerce PayPal Payments |
| 対象バージョン | 4.0.1までの全てのバージョン |
| 修正バージョン | 4.0.2 |
| CVSS | 高 (8.2) |
| 脆弱性概要 | 4.0.1までの全てのバージョンにおいて、'ppc-create-order' および 'ppc-get-order' WC-AJAXエンドポイントへの認可チェックの欠如により、不正な注文操作および情報漏洩の脆弱性が存在する。'ppc-create-order' エンドポイントは 'pay-now' コンテキストで任意のWooCommerce注文IDを注文の所有権を検証せずに受け付けるため、攻撃者はあらゆるWC注文に対してPayPal注文を作成しPayPalメタデータを書き込むことができる。'ppc-get-order' エンドポイントはリクエスト者のセッションに紐付けることなく任意のPayPal注文IDの全ての注文詳細を返す。認証されていない攻撃者が、被害者のWC注文に対してPayPal注文を作成してPayPal注文データを取得することで、これらのエンドポイントを連鎖させ、他の顧客の注文支払いフローを操作し、機密性の高い注文詳細（支払者情報・配送データ）を窃取することが可能となる。 |
| 対応方法 | 4.0.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-9284 |
| 公開日 | 2026-05-22 16:04:24 (2026-05-23 04:27:18更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/d5fa3282-b3be-4ea1-9865-011dea828a25 |
他の脆弱性: 5件
プラグイン: Yoast SEO
プラグイン: PDF Embedder
プラグイン: Photo Gallery by 10Web
プラグイン: WP Activity Log
プラグイン: Easy Updates Manager
総括
この期間内に報告された脆弱性8件のうち、3件は認証されていない攻撃者に影響を受ける脆弱性で、5件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。
深刻度が高い脆弱性のうち、WPCode のリモートコード実行（CVSS 8.8）は、投稿者以上の権限を持つユーザーが XML-RPC 経由で PHP スニペット投稿を作成・公開でき、ショートコード経由でサーバー上で実行される問題で、今回報告された中で最も深刻な評価です。WooCommerce PayPal Payments では、認証されていない攻撃者が他の顧客の注文支払いフローを操作し、支払者情報や配送データなどの機密情報を窃取することが可能で、EC サイトへの影響が懸念されます。LiteSpeed Cache の蓄積型 XSS は、リバースプロキシ・ロードバランサー・特定設定の CDN 環境でアクセス制御が迂回された場合に、認証なしで悪用できる可能性があります。
他の脆弱性では、Photo Gallery by 10Web の SQL インジェクションがデータベース内の機密情報取得につながるおそれがあります。Yoast SEO では寄稿者以上の権限で非公開投稿・下書きを含む SEO メタデータが閲覧可能となります。WP Activity Log では購読者以上の権限で蓄積型 XSS が、Easy Updates Manager では管理者への操作誘導によって反射型 XSS が悪用できる問題がそれぞれ報告されています。
全体として、コードスニペット管理・決済・SEO・ギャラリー・ログ管理といったサイト運営に深く関わるプラグインへの影響が多く含まれています。該当プラグインは速やかに修正バージョンへ更新し、XML-RPC の利用状況、PayPal 連携設定、投稿権限の付与状況についても合わせて確認することが重要です。
