WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/07/16-2026/07/22 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 5件
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 6.9から6.9.4までの全てのバージョン 7.0から7.0.1までの全てのバージョン |
| 修正バージョン | 6.9.5, 7.0.2 |
| CVSS | 致命的 (9.8) |
| 脆弱性概要 | 6.9から6.9.4まで、および7.0から7.0.1までのバージョンにおいて、REST APIのバッチリクエストエンドポイント（'/wp-json/batch/v1'）でのルーティングとバリデーションの非同期により、リモートコード実行の脆弱性が存在する。検証済みのサブリクエストが意図しないコールバックにディスパッチされ、'allow_batch' 制限が回避される。認証されていない攻撃者が、攻撃者が制御するパラメータを送信して対象ルートの入力サニタイズも回避し、サーバー上でコードを実行することが可能となる。 |
| 対応方法 | 6.9.5以降にアップデートする 7.0.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-63030 |
| 公開日 | 2026-07-17 00:00:00 (2026-07-18 18:36:01更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/1ba55302-b38f-4932-bbba-cdd517380ad7 |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 6.8から6.8.5までの全てのバージョン 6.9から6.9.4までの全てのバージョン 7.0から7.0.1までの全てのバージョン |
| 修正バージョン | 6.8.6, 6.9.5, 7.0.2 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 6.8から6.8.5まで、6.9から6.9.4まで、および7.0から7.0.1までのバージョンにおいて、'author__not_in' パラメータのエスケープ不足および既存SQLクエリの準備不足により、SQLインジェクションの脆弱性が存在する。認証されていない攻撃者が、既存のクエリに追加のSQLクエリを挿入してデータベースから機密情報を取得することが可能となる。 |
| 対応方法 | 6.8.6以降にアップデートする 6.9.5以降にアップデートする 7.0.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-60137 |
| 公開日 | 2026-07-17 00:00:00 (2026-07-17 23:13:07更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/bd087d06-5395-4dfd-a288-2c3271a62842 |
プラグイン: Loco Translate
| 対象製品 | Loco Translate |
| 対象バージョン | 2.8.5までの全てのバージョン |
| 修正バージョン | 2.8.6 |
| CVSS | 高 (8.8) |
| 脆弱性概要 | 2.8.5までの全てのバージョンにおいて、'execTemplate' 関数のnonce検証が不足しており、'php://filter' ストリームラッパーをtemplateパラメータとして供給することでパス検証を回避してinclude sinkへ直接渡されるため、クロスサイトリクエストフォージェリの脆弱性が存在する。認証されていない攻撃者が、サイト管理者にリンクのクリックなどの操作を行わせることで、任意のPHPコードを実行することが可能となる。 |
| 対応方法 | 2.8.6以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-15005 |
| 公開日 | 2026-07-15 20:13:46 (2026-07-16 08:26:49更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/241d7a82-5fa5-40e3-9336-823644ca17f0 |
プラグイン: Forminator Forms
| 対象製品 | Forminator Forms |
| 対象バージョン | 1.55.0.2までの全てのバージョン |
| 修正バージョン | 1.55.1 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 1.55.0.2までの全てのバージョンにおいて、外部入力によるパス名の構築時に特殊要素が適切に無効化されないことにより、ディレクトリトラバーサルの脆弱性が存在する。認証されていない攻撃者が、サーバー上の任意のファイルの内容を読み取り、機密情報を露出させることが可能となる。 |
| 対応方法 | 1.55.1以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-57815 |
| 公開日 | 2026-07-08 00:00:00 (2026-07-16 17:54:41更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/355d6e61-a45b-4682-bfad-77df18ae79f4 |
プラグイン: Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content
| 対象製品 | Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content |
| 対象バージョン | 4.16.18までの全てのバージョン |
| 修正バージョン | 4.16.19 |
| CVSS | 高 (8.8) |
| 脆弱性概要 | 4.16.18までの全てのバージョンにおいて、'allowed_mime_types' 関数が 'upload_mimes' フィルタを無条件に登録し、'.exe'・'.apk'・'.msi' などの実行可能な拡張子をグローバルなMIME許可リストへ追加してデジタル製品のアップロード以外のコンテキストにも影響することにより、任意ファイルアップロードの脆弱性が存在する。投稿者以上の権限を持つユーザーで認証済みの場合に、実行可能なファイルをアップロードし、リモートコード実行を行うことが可能となる。 |
| 対応方法 | 4.16.19以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-13352 |
| 公開日 | 2026-07-16 14:43:52 (2026-07-17 03:43:42更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/9bb520df-e838-4335-bd4f-97026082a204 |
他の脆弱性: 8件
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.13までの全てのバージョン |
| 脆弱性概要 | 編集者以上の権限を持つユーザーで認証済みの場合に、'family' パラメータにおけるパス検証の不十分さを通じて、任意のディレクトリを削除し、データ損失と可用性の低下を引き起こすことが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/01a52285-2d0c-4b29-8dab-18a3e3640e5c |
プラグイン: Ultimate Addons for Elementor
| 対象製品 | Ultimate Addons for Elementor |
| 対象バージョン | 2.9.1までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、Navigation Menu Widgetの 'data-toggle-icon' および 'data-close-icon' 属性における入力サニタイズと出力エスケープの不十分さを通じて、'wp_kses_post' がHTML実体エンコード済みのペイロードを無効化できないことを悪用し、ページへ任意のウェブスクリプトを挿入して、そのページにアクセスしたユーザーの環境で実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/39f26d35-a702-49fc-aed1-0a329ac32553 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.13までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、ユーザーが制御可能なキーの検証欠落を通じて、権限外のアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/601ac722-a2d4-4dce-9cde-dd3f4c15416a |
プラグイン: WPForms
| 対象製品 | WPForms |
| 対象バージョン | 2.0.0.1までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、OptinMonster統合の 'data-sitekey' 属性における入力サニタイズとエスケープの不十分さを通じて、投稿コンテンツ内で処理される値を悪用し、ページへ任意のスクリプトを挿入して、そのページにアクセスしたユーザーの環境で実行させることが可能となる。ただし悪用にはOptinMonsterプラグインが導入され、アクティブなインラインキャンペーンが設定されている必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/6d5264a1-dabf-4630-9871-ab6e14817768 |
プラグイン: HubSpot All-In-One Marketing
| 対象製品 | HubSpot All-In-One Marketing |
| 対象バージョン | 11.3.62までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'wp_localize_script()' 経由で 'window.leadinConfig' にサーバー側で復号された平文のHubSpot OAuthリフレッシュトークンが公開されることを通じて、当該トークンを抽出し、HubSpotテナントのデータへアクセス・変更することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/718d7ea3-d8ba-46a0-9ab1-72657bd82c17 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.13までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数に対する権限チェックの欠落を通じて、権限外のアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7ff92bf8-371e-4d47-881c-a0f9eadc5061 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 4.0.0までの全てのバージョン |
| 脆弱性概要 | カスタムロール以上の権限を持つユーザーで認証済みの場合に、保存されたクイズ回答配列におけるエスケープの不十分さを通じて、'wp_ajax_tutor_quiz_abandon' ハンドラーでペイロードを保存し、'/wp-json/tutor/v1/quiz-attempt-details/{id}' エンドポイントの呼び出し時に実行させることで、データベースから機密情報を取得することが可能となる。ただし悪用には特権ユーザーまたはTutor REST APIキーの保持者による当該エンドポイントの呼び出しが必要である。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8cd603aa-c4d4-488c-b134-6983240c3a18 |
プラグイン: GiveWP
| 対象製品 | GiveWP |
| 対象バージョン | 4.16.3までの全てのバージョン |
| 脆弱性概要 | Give Worker以上の権限を持つユーザーで認証済みの場合に、Sequoiaテンプレート設定の 'twitter_message' における入力サニタイズとエスケープの不十分さを通じて、JavaScriptテンプレートリテラル内で未エスケープの値が評価されることを悪用し、ページへ任意のスクリプトを挿入して、寄付者がTwitter共有ボタンをクリックした際に実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/bdd0ba4b-56f1-4f4b-95f7-28c911c8de09 |
総括
この期間内に報告された脆弱性13件のうち、5件は認証されていない攻撃者に影響を受ける脆弱性で、8件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。今回はプラグインに加えて WordPress 本体（コア）の脆弱性が2件含まれており、影響範囲が広い点で特に注意が必要です。
今回最も重大なのは WordPress コアの2件です。1件目は REST API のバッチルート混同（CVE-2026-63030、CVSS 9.8、対象は 6.9.0〜6.9.4 および 7.0.0〜7.0.1）で、'/wp-json/batch/v1' エンドポイントに複数のサブリクエストを送信し、1つ目を意図的に失敗させて配列のインデックスをずらすことで、本来呼び出せないRESTエンドポイントのバリデーションが別のハンドラーで処理される状態を作り出せます。2件目は WP_Query のSQLインジェクション（CVE-2026-60137、CVSS 7.5、対象は 6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1）で、'author__not_in' パラメータに渡されたスカラー値がエスケープされずにSQLへ連結されます。
この2件は単独では成立せず、組み合わせることで認証前リモートコード実行（Pre-Authentication RCE）に至る点が最大の懸念です。SQLインジェクション単体では外部から到達できませんが、バッチルート混同によってインデックスがずれた状態を作ることで初めて 'author__not_in' へ到達可能となり、悪意あるSQL文を注入できます。「wp2shell」として公開された検証情報によれば、プラグインを一切導入していない標準構成の WordPress に対して、匿名ユーザーが管理者認証情報を一切持たないままリモートで任意コードを実行でき、データベース情報の窃取・ページの改ざん・悪性スクリプトの設置が可能とされています。認証も特殊なプラグイン構成も不要なため、該当バージョンを使用しているサイトは無差別スキャンの標的となりえます。根本対策は WordPress 6.8.6・6.9.5・7.0.2 以上への即時更新です。直ちに更新できない場合の緩和策として、WAF で '/wp-json/batch/v1' と '?rest_route=/batch/v1' の両形式を遮断する、またはプラグインで未認証ユーザーの '/batch/v1' アクセスを禁止する方法が挙げられています。
プラグインの深刻度が高い脆弱性では、Loco Translate（CVSS 8.8）が管理者をリンクのクリックに誘導することで 'php://filter' 経由の任意PHPコード実行につながります。Paid Membership Plugin（ProfilePress、CVSS 8.8）は、実行可能な拡張子がグローバルなMIME許可リストに追加されるため、投稿者以上の権限で実行可能ファイルをアップロードしリモートコード実行に至ります。Forminator Forms（CVSS 7.5）は認証不要のディレクトリトラバーサルによる任意ファイル読み取りが可能です。
他の脆弱性では、編集者権限で任意ディレクトリを削除できる Kirki のディレクトリトラバーサル、寄稿者権限で平文のHubSpot OAuthリフレッシュトークンを抽出され外部テナントのデータまで到達しうる HubSpot All-In-One Marketing の情報漏洩が注目されます。また Kirki と Tutor LMS はそれぞれ2件ずつ報告されており、同一プラグインに複数の問題が存在する点に注意が必要です。Tutor LMS のSQLインジェクションは、保存したペイロードがREST API経由で実行される二次インジェクション型である点も特徴的です。
全体として、リモートコード実行・任意ファイルアップロード・ディレクトリトラバーサル・SQLインジェクションなど、単なる表示上の不具合ではなくサーバーファイルやデータベース、外部連携トークンといった実運用上の重要資産に到達する脆弱性が多く含まれています。特に WordPress コアの2件は全サイトが対象となりうるため最優先で対応が必要です。速やかに WordPress 本体を最新のマイナーリリースへ更新し、該当プラグインも修正バージョンへ更新したうえで、'/wp-json/batch/v1' への異常リクエストの監視、アップロード可能なMIMEタイプの確認、外部連携（HubSpot・OptinMonster）のトークン再発行、不要な投稿権限・編集者権限の付与状況を確認することが重要です。
