WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/07/09-2026/07/15 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 11件
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.12までの全てのバージョン |
| 修正バージョン | 6.0.13 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 6.0.12までの全てのバージョンにおいて、ユーザー入力パラメータのエスケープ不足およびSQL文のプリペアド処理の不足により、SQLインジェクションの脆弱性が存在する。認証されていない攻撃者が、既存のクエリに追加のSQLクエリを挿入してデータベースから機密情報を取得することが可能となる。 |
| 対応方法 | 6.0.13以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57726 |
| 公開日 | 2026-07-06 00:00:00 (2026-07-14 19:57:25更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/193bd3b8-1af9-496a-ad77-dd5253612272 |
プラグイン: Loco Translate
| 対象製品 | Loco Translate |
| 対象バージョン | 2.8.5までの全てのバージョン |
| 修正バージョン | 2.8.6 |
| CVSS | 高 (8.8) |
| 脆弱性概要 | 2.8.5までの全てのバージョンにおいて、'execTemplate' 関数でのnonce検証の不足と 'php://filter' ストリームラッパーによるパス検証の回避により、クロスサイトリクエストフォージェリの脆弱性が存在する。認証されていない攻撃者が、サイト管理者にリンクのクリックなどの操作を行わせることで、サーバー上で任意のPHPコードを実行することが可能となる。 |
| 対応方法 | 2.8.6以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-15005 |
| 公開日 | 2026-07-15 20:13:46 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/241d7a82-5fa5-40e3-9336-823644ca17f0 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.12までの全てのバージョン |
| 修正バージョン | 6.0.13 |
| CVSS | 高 (8.1) |
| 脆弱性概要 | 6.0.12までの全てのバージョンにおいて、信頼できないデータの逆シリアライズによるPHPオブジェクトインジェクションの脆弱性が存在する。認証されていない攻撃者が、PHPオブジェクトを注入することが可能となる。他のプラグインやテーマにPOPチェーンが存在する場合には、任意ファイルの削除・機密データの取得・コード実行につながる可能性がある。 |
| 対応方法 | 6.0.13以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57724 |
| 公開日 | 2026-07-06 00:00:00 (2026-07-14 19:56:44更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/2b8db99d-95ec-41e6-bdb4-9db598ed80e1 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.11までの全てのバージョン |
| 修正バージョン | 6.0.12 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 6.0.11までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 6.0.12以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57725 |
| 公開日 | 2026-07-06 00:00:00 (2026-07-14 19:56:59更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/35db7137-aba0-4299-ad8a-c650d6db5199 |
プラグイン: Anti-Malware Security and Brute-Force Firewall
| 対象製品 | Anti-Malware Security and Brute-Force Firewall |
| 対象バージョン | 4.23.89までの全てのバージョン |
| 修正バージョン | 4.23.90 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 4.23.89までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 4.23.90以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57691 |
| 公開日 | 2026-07-09 00:00:00 (2026-07-14 19:21:09更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/5e83b0ff-3628-47d7-92d0-429af92067bd |
プラグイン: Appointment Booking Plugin
| 対象製品 | Appointment Booking Plugin |
| 対象バージョン | 5.6.3までの全てのバージョン |
| 修正バージョン | 5.6.4 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 5.6.3までの全てのバージョンにおいて、ユーザー入力パラメータのエスケープ不足およびプリペアド処理の不足により、SQLインジェクションの脆弱性が存在する。認証されていない攻撃者が、既存のクエリに追加のSQLクエリを挿入してデータベースから機密情報を取得することが可能となる。 |
| 対応方法 | 5.6.4以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57714 |
| 公開日 | 2026-07-08 00:00:00 (2026-07-14 19:37:26更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7b0eff94-6fb9-4caf-b60d-f92f63a41915 |
プラグイン: Ultimate Member
| 対象製品 | Ultimate Member |
| 対象バージョン | 2.10.1までの全てのバージョン |
| 修正バージョン | 2.10.2 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 2.10.1までの全てのバージョンにおいて、'search' パラメータのエスケープ不足およびプリペアド処理の不足により、ブラインドSQLインジェクションの脆弱性が存在する。認証されていない攻撃者が、既存のクエリに追加のSQLクエリを挿入してデータベースから機密情報を取得することが可能となる。 |
| 対応方法 | 2.10.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-15290 |
| 公開日 | 2025-04-16 00:00:00 (2026-07-10 04:31:23更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8f539e25-5483-417d-a3c5-e7034c03c673 |
プラグイン: W3 Total Cache
| 対象製品 | W3 Total Cache |
| 対象バージョン | 2.9.4までの全てのバージョン |
| 修正バージョン | 2.10.0 |
| CVSS | 高 (8.1) |
| 脆弱性概要 | 2.9.4までの全てのバージョンにおいて、コード生成時の外部入力の中立化不足により、リモートコード実行の脆弱性が存在する。認証されていない攻撃者が、サーバー上でコードを実行することが可能となる。 |
| 対応方法 | 2.10.0以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57623 |
| 公開日 | 2026-06-29 00:00:00 (2026-07-09 14:35:09更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b360f121-449f-43a8-b5e4-1cffddbaac77 |
プラグイン: Forminator Forms
| 対象製品 | Forminator Forms |
| 対象バージョン | 1.55.0.1までの全てのバージョン |
| 修正バージョン | 1.55.0.2 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 1.55.0.1までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 1.55.0.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57814 |
| 公開日 | 2026-07-08 00:00:00 (2026-07-14 19:36:52更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c5697616-4e19-45a3-b860-623af66469bc |
プラグイン: UpdraftPlus: WP Backup & Migration Plugin/UpdraftPlus Premium
| 対象製品 | UpdraftPlus: WP Backup & Migration Plugin UpdraftPlus Premium |
| 対象バージョン | 1.26.4までの全てのバージョン (UpdraftPlus: WP Backup & Migration Plugin) 2.0から2.26.5までの全てのバージョン (UpdraftPlus Premium) |
| 修正バージョン | 1.26.5(UpdraftPlus: WP Backup & Migration Plugin) 2.26.5(UpdraftPlus Premium) |
| CVSS | 致命的 (9.8) |
| 脆弱性概要 | UpdraftPlus は 1.26.4まで、UpdraftPlus Premium は 2.0から2.26.5までの全てのバージョンにおいて、認証回避の脆弱性が存在する。これはリモート通信メッセージ形式の検証が不十分で署名検証が回避可能であり、復号化の戻り値チェックの不足により予測可能な全ゼロの暗号化キーが生成されることが原因である。認証されていない攻撃者が、管理者権限で任意のRPCコマンドを偽造して実行し、悪意あるプラグインのアップロード・有効化を経てリモートコード実行を行うことが可能となる。 |
| 対応方法 | 1.26.5以降にアップデートする (UpdraftPlus: WP Backup & Migration Plugin) 2.26.5以降にアップデートする (UpdraftPlus Premium) |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-10795 |
| 公開日 | 2026-06-10 16:41:29 (2026-07-14 18:13:44更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/e901c2a0-2477-4b9a-8483-6002419e0a2f |
プラグイン: W3 Total Cache
| 対象製品 | W3 Total Cache |
| 対象バージョン | 2.9.4までの全てのバージョン |
| 修正バージョン | 2.10.0 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 2.9.4までの全てのバージョンにおいて、'setupSources' 関数でのパス名の制限不足と特殊文字の中立化不足、および手動minifyモード有効時に 'f_array' の参照前にハッシュが空値となることにより、ディレクトリトラバーサルの脆弱性が存在する。認証されていない攻撃者が、サーバー上の任意のファイルの内容（機密情報を含む）を読み取ることが可能となる。ただし悪用には手動minifyモードが有効で、手動形式のminifyファイル名を指定する必要がある。 |
| 対応方法 | 2.10.0以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-9282 |
| 公開日 | 2026-07-10 18:09:47 (2026-07-11 06:50:33更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/e92cc06d-006f-4bba-a4ef-b23d80c00085 |
他の脆弱性: 10件
プラグイン: Widgets for Google Reviews
| 対象製品 | Widgets for Google Reviews |
| 対象バージョン | 13.3までの全てのバージョン |
| 脆弱性概要 | 編集者以上の権限を持つユーザーで認証済みの場合に、管理画面設定を通じてページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境で実行させることが可能となる。ただし影響はマルチサイト環境または 'unfiltered_html' が無効化された環境に限られる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4d16e945-1576-4d9b-8e1b-995ec457215b |
プラグイン: PDF Invoices & Packing Slips for WooCommerce
| 対象製品 | PDF Invoices & Packing Slips for WooCommerce |
| 対象バージョン | 5.14.0までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'generate_document_shortcode' におけるユーザー制御キーの検証欠落を通じて、他者の注文に対するセッションに紐付かないダウンロードリンクを生成し、顧客名・住所・電話番号・注文内容などの個人情報を露出させることが可能となる。ただし悪用にはドキュメントリンクのアクセスタイプが 'full' に設定されている必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/6525195e-5d90-4dd4-b9ee-612a8295c262 |
プラグイン: Download Manager
| 対象製品 | Download Manager |
| 対象バージョン | 3.3.61までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'note_before' および 'note_after' ショートコード属性を通じてページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境で実行させることが可能となる。ただし悪用には 'wp_kses_post' による保護を回避できるペイロードを使用する必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/74cd34be-008c-4ff3-ae3c-417cfd2fee9b |
プラグイン: Ad Inserter
| 対象製品 | Ad Inserter |
| 対象バージョン | 2.8.11までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境で実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7d4c574f-f603-49eb-8d86-c98c060c1dfe |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.13までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数の権限チェック欠落を通じて、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7ff92bf8-371e-4d47-881c-a0f9eadc5061 |
プラグイン: W3 Total Cache
| 対象製品 | W3 Total Cache |
| 対象バージョン | 2.9.1までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済みの場合に、関数の権限チェック欠落を通じて、権限レベルを超えたアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8441e5f2-cff0-4f6c-a584-861650f5a121 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 4.0.0までの全てのバージョン |
| 脆弱性概要 | カスタムロール以上の権限を持つユーザーで認証済みの場合に、保存されたクイズ回答配列への入力エスケープ不足とSQL準備不足を通じて、'wp_ajax_tutor_quiz_abandon' ハンドラーでペイロードを保存し、REST APIで実行させることで、既存のクエリに追加のSQLクエリを挿入してデータベースから機密情報を取得することが可能となる。ただし悪用にはREST APIキーの保持者または特権ユーザーが '/wp-json/tutor/v1/quiz-attempt-details/{id}' エンドポイントを訪問する必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8cd603aa-c4d4-488c-b134-6983240c3a18 |
プラグイン: Smart Slider 3
| 対象製品 | Smart Slider 3 |
| 対象バージョン | 3.5.1.37までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'keyword' パラメータへの入力検証不足を通じて、他者の非公開・下書き・保留中・削除済み・自動下書きの投稿のタイトルと本文を抽出することが可能となる。ただし悪用には '/wp-admin/post-new.php' から取得可能なnonceを使用する必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a782d975-74ce-4265-9312-435b3585a5c6 |
プラグイン: GiveWP
| 対象製品 | GiveWP |
| 対象バージョン | 4.16.3までの全てのバージョン |
| 脆弱性概要 | Give Worker以上の権限を持つユーザーで認証済みの場合に、Sequoiaテンプレート設定の 'twitter_message' への入力サニタイズ不足とJavaScriptテンプレートリテラル内での出力エスケープ不足を通じて、ページへ任意のウェブスクリプトを挿入し、寄付者がTwitter共有ボタンを操作した際に実行させることが可能となる。ただし悪用には寄付者がSequoiaの寄付完了画面でツイート共有を行う必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/bdd0ba4b-56f1-4f4b-95f7-28c911c8de09 |
プラグイン: Fluent Forms
| 対象製品 | Fluent Forms |
| 対象バージョン | 6.2.1までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、支払いキャンセルAJAXフローの 'subscription_id' パラメータにおける所有権の認可チェック不足を通じて、他者のサブスクリプションのキャンセルリクエストを送信することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/e7521577-ce13-4b60-ae11-9c0f9c077cf9 |
総括
この期間内に報告された脆弱性21件のうち、12件は認証されていない攻撃者に影響を受ける脆弱性で、9件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。深刻度が高い脆弱性は12件すべてが認証不要で悪用可能であり、外部からの攻撃リスクが高い内容が並んでいます。
最も深刻なのは UpdraftPlus および UpdraftPlus Premium（CVSS 9.8）の認証回避です。署名検証の回避と全ゼロの暗号化キー生成により、認証されていない攻撃者が管理者権限でRPCコマンドを偽造し、悪意あるプラグインの導入を経てリモートコード実行に至ります。Loco Translate（CVSS 8.8）は、管理者をリンクのクリックに誘導することでサーバー上の任意PHPコード実行につながります。W3 Total Cache（CVSS 8.1）は認証なしでのコード実行、Kirki（CVSS 8.1）は認証なしでのPHPオブジェクトインジェクションで、いずれも条件次第でサイトの完全な侵害につながります。加えて Kirki・Appointment Booking Plugin・Ultimate Member（いずれも CVSS 7.5）のSQLインジェクションは認証なしでデータベースの機密情報取得につながり、W3 Total Cache（CVSS 7.5）のディレクトリトラバーサルでは任意ファイルの読み取りが可能です。Kirki・Anti-Malware Security・Forminator Forms（いずれも CVSS 7.2）は認証不要の蓄積型XSSです。
他の脆弱性では、寄稿者権限で他者の注文の個人情報を露出できる PDF Invoices & Packing Slips for WooCommerce のIDOR、同じく寄稿者権限で他者の非公開・下書き投稿の内容を抽出できる Smart Slider 3、購読者権限で他者のサブスクリプションをキャンセルできる Fluent Forms の認可不備が注目されます。また Kirki は深刻度が高い脆弱性と合わせて4件、W3 Total Cache は3件が報告されており、同一プラグインに複数の問題が集中している点に注意が必要です。
全体として、認証回避・リモートコード実行・SQLインジェクション・オブジェクトインジェクションといった、単なる表示上の不具合ではなくサイトの完全な侵害やデータベース・サーバーファイルへの到達につながる脆弱性が多数含まれています。特に UpdraftPlus・Loco Translate・W3 Total Cache・Kirki は緊急対応が必要です。該当プラグインは速やかに修正バージョンへ更新し、あわせてバックアップ・キャッシュ・カスタマイザー系プラグインの導入状況、W3 Total Cache の手動minify設定、寄付・フォーム・EC 関連プラグインの権限と所有権チェック、不要な投稿権限の付与状況を確認することが重要です。
