WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/07/23-2026/07/29 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 6件
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 6.9から6.9.4までの全てのバージョン 7.0から7.0.1までの全てのバージョン |
| 修正バージョン | 6.9.5, 7.0.2 |
| CVSS | 致命的 (9.8) |
| 脆弱性概要 | 6.9から6.9.4まで、および7.0から7.0.1までのバージョンにおいて、REST APIのバッチリクエストエンドポイント（'/wp-json/batch/v1'）でのルート検証の非同期により、リモートコード実行の脆弱性が存在する。'allow_batch' 制限が回避され、SQLインジェクションと連鎖する。認証されていない攻撃者が、サーバー上でコードを実行することが可能となる。 |
| 対応方法 | 6.9.5以降にアップデートする 7.0.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-63030 |
| 公開日 | 2026-07-17 00:00:00 (2026-07-23 20:15:23更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/1ba55302-b38f-4932-bbba-cdd517380ad7 |
プラグイン: GTM4WP
| 対象製品 | GTM4WP |
| 対象バージョン | 1.22.3までの全てのバージョン |
| 修正バージョン | 1.22.4 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 1.22.3までの全てのバージョンにおいて、WooCommerce請求フィールドの入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、姓名などの請求フィールドにJavaScriptペイロードを注入し、そのページを閲覧したユーザーの環境で任意のスクリプトを実行させることが可能となる。ただし悪用には 'GTM4WP_OPTION_INTEGRATE_WCORDERDATA' が有効で、ゲストチェックアウト時に注入する必要がある。 |
| 対応方法 | 1.22.4以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-16597 |
| 公開日 | 2026-07-28 20:33:08 (2026-07-29 09:31:12更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/03542812-b6e5-421d-9ba6-43f1c779940f |
プラグイン: CleanTalk Anti-Spam. Spam Firewall & Bot protection
| 対象製品 | CleanTalk Anti-Spam. Spam Firewall & Bot protection |
| 対象バージョン | 6.82までの全てのバージョン |
| 修正バージョン | 6.83 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 6.82までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 6.83以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-65437 |
| 公開日 | 2026-07-27 00:00:00 (2026-07-29 23:22:42更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/222079a2-20f1-4d53-8420-46ccc50988a8 |
プラグイン: BackWPup
| 対象製品 | BackWPup |
| 対象バージョン | 5.7.4までの全てのバージョン |
| 修正バージョン | 5.7.5 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 5.7.4までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 5.7.5以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-65443 |
| 公開日 | 2026-07-27 00:00:00 (2026-07-29 23:08:41更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/2dfd592b-cbe9-460a-8b9a-148058d1bd58 |
プラグイン: Fluent Forms
| 対象製品 | Fluent Forms |
| 対象バージョン | 6.2.7までの全てのバージョン |
| 修正バージョン | 6.2.8 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 6.2.7までの全てのバージョンにおいて、名前フィールド内のネストされたpasswordメンバーのサニタイズおよびエスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 6.2.8以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-16655 |
| 公開日 | 2026-07-28 20:38:26 (2026-07-29 09:31:14更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/635e19ba-da98-459c-ab91-ff969b0812fd |
プラグイン: GiveWP
| 対象製品 | GiveWP |
| 対象バージョン | 4.16.3までの全てのバージョン |
| 修正バージョン | 4.16.4 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 4.16.3までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 4.16.4以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-65441 |
| 公開日 | 2026-07-27 00:00:00 (2026-07-29 23:23:28更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8a106ebb-f3ec-4995-9717-358b91d468b4 |
他の脆弱性: 20件
プラグイン: Ninja Forms
| 対象製品 | Ninja Forms |
| 対象バージョン | 3.14.9までの全てのバージョン |
| 脆弱性概要 | 管理者以上の権限を持つユーザーで認証済みの場合に、インポートファイルの 'settings' キーのエスケープ不足とプリペアドステートメント未使用により、'_save_setting()'（Model.php）および 'insert_form_meta()'（ImportForm.php）の2つのシンクでキー側がサニタイズ・パラメータ化されず、'file_get_contents()' またはBase64デコード/JSONデコードされたブロブの処理時に 'wp_magic_quotes' 保護が回避されることを通じて、既存のクエリに追加のSQLクエリを挿入してデータベースから機密情報を取得することが可能となる。ただし悪用には攻撃者がインポートファイルを制御できる必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/2fda47d8-8e8c-4103-aabb-c70935e13450 |
プラグイン: HubSpot All-In-One Marketing
| 対象製品 | HubSpot All-In-One Marketing |
| 対象バージョン | 11.3.55までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、アクセス制御の不適切な実装を通じて、機密性の高いユーザーデータまたは設定データを抽出することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/3deffe49-c40e-4231-b9d6-035f6dc5f8b2 |
プラグイン: Payment Plugins for Stripe WooCommerce
| 対象製品 | Payment Plugins for Stripe WooCommerce |
| 対象バージョン | 4.0.7までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'webhook_secret_test' および 'webhook_secret_live' オプションが空（デフォルト状態）のときにウェブフック署名検証が回避されることを通じて、'status=succeeded'・'captured=true' に設定した偽造の 'charge.pending' イベントと攻撃者が制御する 'metadata.order_id'・'metadata.gateway_id'・'charge' オブジェクトを送信し、任意の保留中WooCommerce注文を支払い済みにマークして、任意のトランザクションIDで 'payment_complete()' およびフルフィルメントフローを実行することが可能となる。ただし悪用にはウェブフック署名が未設定（デフォルト状態）である必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/45185f25-9a1f-411d-9d2a-295b5ceb5629 |
プラグイン: Payment Plugins for Stripe WooCommerce
| 対象製品 | Payment Plugins for Stripe WooCommerce |
| 対象バージョン | 4.0.7までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数に対する権限チェックの欠落を通じて、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4551afe6-905e-489c-83ce-0ad2f632e69f |
プラグイン: The Events Calendar
| 対象製品 | The Events Calendar |
| 対象バージョン | 6.16.5.0までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数に対する権限チェックの欠落を通じて、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/48cc0c28-77e2-49e7-aba3-fea2e66f7bb8 |
プラグイン: Yoast SEO
| 対象製品 | Yoast SEO |
| 対象バージョン | 28.0までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済みの場合に、投稿スラッグ（'post_name'）の入力サニタイズと出力エスケープの不足を通じて、'get_permalink()' が生成するURLに埋め込まれるパーセントエンコードされた 'post_name' を悪用し、ページへ任意のウェブスクリプトを挿入して、そのページにアクセスしたユーザーの環境で実行させることが可能となる。ただし悪用にはpretty permalinksが有効である必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4b2fa1b7-a5af-4ea6-9bee-19a6cdfd7701 |
プラグイン: Polylang
| 対象製品 | Polylang |
| 対象バージョン | 3.8.5までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、アクセス制御の不適切な実装を通じて、機密性の高いユーザーデータまたは設定データを抽出することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/64bd14de-a201-4532-b980-962feab0d69b |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.1.1までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数に対する権限チェックの欠落を通じて、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7ff92bf8-371e-4d47-881c-a0f9eadc5061 |
プラグイン: Firelight Lightbox
| 対象製品 | Firelight Lightbox |
| 対象バージョン | 2.3.20までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'inc/fancybox-2.php' 内のFancyBox V2 PDFの 'beforeLoad' JavaScriptコールバックで生成される 'href' 属性値のサニタイズ不足を通じて、エンティティエンコードされたダブルクォートを含む 'href' がHTML文字列へ直接連結され 'data' 属性から脱出してイベントハンドラをDOMに挿入できることを悪用し、ページへ任意のウェブスクリプトを挿入して、ユーザーが悪意あるPDFリンクをクリックした際に実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8396c124-9c72-4801-8964-1cd5fbd52d20 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.14までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'context' パラメータにおけるユーザー制御キーの検証欠落を通じて、攻撃者が制御するブロックテンプレートとともに任意の投稿IDを 'context' パラメータで供給することで、下書き・保留中・非公開・パスワード保護・削除済みを含むあらゆる投稿（作成者を問わず）のタイトル・本文・抜粋を全文読み取ることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/84f65255-f710-44f9-9f77-61776a40abae |
プラグイン: MailPoet
| 対象製品 | MailPoet |
| 対象バージョン | 5.30.0から5.33.0までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数のnonce検証の欠落または不備を通じて、サイト管理者にリンクのクリックなどの操作を行わせることで、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8e1371a5-ed2e-4a1b-901e-8aef4d0d3acf |
プラグイン: GiveWP
| 対象製品 | GiveWP |
| 対象バージョン | 4.16.3までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数のnonce検証の欠落または不備を通じて、サイト管理者にリンクのクリックなどの操作を行わせることで、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/928dd5c1-c396-4ddb-b910-697884dbc824 |
プラグイン: Reviews Feed
| 対象製品 | Reviews Feed |
| 対象バージョン | 2.6.4までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'do_shortcode' の実行前に値を適切に検証しないアクションを通じて、任意のショートコードを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/9a57bd92-c819-436f-b7ea-727c9b9f45e5 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 4.0.1までの全てのバージョン |
| 脆弱性概要 | 管理者以上の権限を持つユーザーで認証済みの場合に、'coupon_code' パラメータのエスケープ不足と既存SQLクエリの準備不足を通じて、既存のクエリに追加のSQLクエリを挿入してデータベースから機密情報を取得することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/9d637d7b-7a47-40db-a931-ec7ca723dfab |
プラグイン: Appointment Booking Plugin
| 対象製品 | Appointment Booking Plugin |
| 対象バージョン | 5.6.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数のnonce検証の欠落または不備を通じて、サイト管理者にリンクのクリックなどの操作を行わせることで、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/bbc41888-35e5-483b-b048-7a504d2e5566 |
プラグイン: All in One SEO
| 対象製品 | All in One SEO |
| 対象バージョン | 4.9.9までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数の権限チェックの欠落を通じて、一部のAIエンドポイントに無制限にアクセスして実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c0a42af0-72da-49f3-a2c5-e76a9e918446 |
プラグイン: Advanced Ads – Ad Manager & AdSense
| 対象製品 | Advanced Ads – Ad Manager & AdSense |
| 対象バージョン | 2.0.22までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、入力サニタイズおよび出力エスケープの不備を通じて、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境で実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c36bc98b-2e31-4a6b-a529-6d7849db4b3e |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.11までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数に対する権限チェックの欠落を通じて、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/d390186e-b6a3-4c9c-8065-2ac4fff9be37 |
プラグイン: WP Go Maps
| 対象製品 | WP Go Maps |
| 対象バージョン | 10.1.05までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数に対する権限チェックの欠落を通じて、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/daa5e6a7-91ff-4dd0-aec2-f9a13e38f309 |
プラグイン: WP Activity Log
| 対象製品 | WP Activity Log |
| 対象バージョン | 5.6.4までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数のnonce検証の欠落または不備を通じて、サイト管理者にリンクのクリックなどの操作を行わせることで、不正なアクションを実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/e0d1b675-7b9a-49ff-a308-075fefca9743 |
総括
この期間内に報告された脆弱性26件のうち、19件は認証されていない攻撃者に影響を受ける脆弱性で、7件は少なくとも寄稿者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。今回はプラグインに加えて WordPress 本体（コア）の脆弱性が1件含まれています。
WordPress コアのリモートコード実行（CVE-2026-63030、CVSS 9.8＝致命的）は、先週の報告で取り上げた脆弱性の継続掲載です。REST APIのバッチリクエストエンドポイント（'/wp-json/batch/v1'）のルート混同を起点に、SQLインジェクション（CVE-2026-60137）と連鎖させることで、標準構成のサイトでも匿名ユーザーによる認証前リモートコード実行に至ります。詳細な攻撃チェーンは先週の総括を参照してください。先週からの変更はありません。
深刻度が高いプラグインの脆弱性は、いずれも認証不要の蓄積型XSS（いずれも CVSS 7.2）です。GTM4WP はゲストチェックアウト時にWooCommerce請求フィールドへ、Fluent Forms は名前フィールドのネストされたメンバーへ、CleanTalk Anti-Spam・BackWPup・GiveWP はそれぞれの入力欄へ、認証なしでスクリプトを注入でき、いずれも閲覧者の環境で実行されます。
他の脆弱性では、認証なしで金銭的被害につながる Payment Plugins for Stripe WooCommerce の認可回避が特に重要で、ウェブフック署名が未設定のデフォルト状態では、偽造イベントによって任意の注文を支払い済みにマークできます。また Reviews Feed の認証不要な任意ショートコード実行、Kirki の 'context' パラメータを悪用した認証なしでの非公開・下書き投稿の全文読み取り、All in One SEO のAIエンドポイントへの無制限アクセスも注目されます。Kirki は深刻度が高い脆弱性を含めず本セクションだけで3件、Payment Plugins for Stripe WooCommerce は2件が報告されており、同一プラグインに複数の問題が集中している点に注意が必要です。加えて MailPoet・GiveWP・Appointment Booking Plugin（LatePoint）・WP Activity Log では、管理者を操作に誘導するCSRFが複数報告されています。
全体として、WordPress コアの認証前RCEを筆頭に、決済の認可回避・SQLインジェクション・任意ショートコード実行・権限チェック漏れによる不正アクセスなど、サイトの乗っ取りや金銭的被害、データベースへの到達につながる脆弱性が多く含まれています。特に WordPress コアの1件は全サイトが対象となりうるため最優先で対応が必要です。速やかに WordPress 本体を最新のマイナーリリースへ更新し、該当プラグインも修正バージョンへ更新したうえで、'/wp-json/batch/v1' への異常リクエストの監視、決済プラグインのウェブフック署名設定、寄付・フォーム・SEO 関連プラグインの権限とnonce検証、不要な投稿権限の付与状況を確認することが重要です。
