WordPressの主要プラグインとテーマに重大な脆弱性、サイト乗っ取りや遠隔コード実行の危険が判明

要点

• セキュリティ企業のWordfenceとPatchstackにより、WordPressの代表的なプラグインやテーマから複数の深刻な脆弱性が公表された。

• 寄付受付プラグイン「GiveWP」では、脆弱性の深刻度を示すCVSSスコアで最高値の10.0となるリモートコード実行の欠陥が確認された。

• 人気テーマ「Avada」や「WPMU DEV Dashboard」「TranslatePress」「Pods」といったプラグインでも、CVSS 9.8の致命的な問題が報告されている。

• これらの脆弱性が悪用されると、未認証の攻撃者によってウェブサイトの完全な乗っ取りやサーバー上での不正なプログラム実行が行われる恐れがある。

• 2026年8月29日、WordPress向けに提供されている複数の著名なプラグインおよびテーマにおいて、認証回避やアカウント乗っ取り、リモートコード実行（RCE：遠隔からサーバー上で不正なプログラムを実行する手法）につながる重大な脆弱性が公表された。セキュリティ企業のWordfenceおよびPatchstackによる調査結果として、サイバーセキュリティ専門メディアのThe Hacker Newsが報じている。公表された5件の脆弱性はいずれも、脆弱性の重大性を示すCVSS（共通脆弱性評価システム）のスコアで9.8から最高値の10.0と評価されており、極めて高い危険性を持つことが示されている。

最高深刻度10.0を受けた「GiveWP」のPHPオブジェクトインジェクション

今回の報告の中で最も深刻度の高いCVSSスコア10.0と判定されたのは、寄付管理プラグイン「GiveWP」に存在する脆弱性（CVE-2026-82222）だ。影響を受ける範囲は、バージョン4.16.7.1以下のすべてのバージョンとなっている。

この問題は、公開された寄付フォームが少なくとも1つ存在し、かつ1つ以上の決済ゲートウェイが有効化されているサイトにおいて発生する。未認証の攻撃者がサーバー上で任意のコマンドを実行できる状態になるという。

調査を実施したPatchstackによると、この脆弱性は「安全とされていたアンシリアライズ（逆シリアル化）ヘルパーの不備」「そのヘルパーに攻撃者が操作可能なデータを渡す寄付フロー」、そして「GiveWPが同梱しているコード内のガジェットチェーン」の3要素が連鎖することで引き起こされる。PHPオブジェクトインジェクション（外部から入力された不正なデータを読み込む際に、既存のプログラム構造を悪用して意図しない処理を実行させる手法）が、リモートコード実行へと発展する典型例だと同社は説明している。

さらにPatchstackは根本的な要因として、オブジェクトを実際には除去できていないサニタイザーを信頼したこと、データベースから読み出したデータを無条件に安全なものとしてアンシリアライズ処理したこと、そして本番環境のコードに開発用ライブラリを含めたことで攻撃に利用可能なガジェットチェーンを提供してしまったことの3点を挙げている。

「Avada」テーマにおけるファイル書き込みと任意コード実行

多くの導入実績を持つ多機能テーマ「Avada」でも、CVSSスコア9.8の重大な脆弱性（CVE-2026-18431）が確認された。影響を受けるのはAvadaのバージョン7.16以下の全バージョンであり、ページビルダープラグインである「Fusion Builder」のバージョン3.16以下がインストールされ有効化されている環境が対象となる。

本件は任意のファイル書き込みに関する欠陥であり、未認証の第三者がサーバー上に制御可能なファイルを書き込むことが可能になるという。攻撃者はこれを利用してサーバー上に不正なPHPファイルを作成・実行し、リモートコード実行を通じてウェブサイト全体を完全に侵害できる状態になると報告されている。

管理者権限の不正奪取を許す「WPMU DEV Dashboard」の認証回避

サイト管理支援ツールの「WPMU DEV Dashboard」プラグインでは、認証回避の脆弱性（CVE-2026-76581、CVSSスコア 9.8）が公表された。影響を受けるのは、バージョン5.0.1以下の全バージョンである。

この欠陥は、サイトがWPMU DEVサービスに接続されており、かつHub Single-Sign On（SSO：1回の認証で連携サービスへログインできる仕組み）機能が有効で管理者アカウントにマッピングされている場合に生じる。未認証の攻撃者が認証をすり抜けて管理者権限を取得し、サイト全体の管理権限を乗っ取ることが可能になるとされている。

パスワード再発行情報を漏洩する「TranslatePress」の欠陥

多言語化プラグイン「TranslatePress – Translate Multilingual sites with AI Translation」においては、機密情報の漏洩に関する脆弱性（CVE-2026-19632、CVSSスコア 9.8）が明らかになった。影響を受けるのはバージョン3.3.1以下の全バージョンだ。

この問題は、プラグインの「自動文字列保存」機能が有効化されており、かつ標的となる管理者のプロフィール言語が公開済みの第2言語に設定されている環境で発生する。未認証の攻撃者が、プレーンテキストのリセットキーやログインパラメータを含む管理者のパスワード再発行用URLを生データのまま抽出できる状態になるという。これにより、攻撃者が管理者アカウントを完全に掌握できる危険性がある。

「Pods」における権限昇格とパスワードの不正上書き

カスタム投稿タイプやフィールドを作成・管理するプラグイン「Pods – Custom Content Types and Fields」では、権限昇格の脆弱性（CVE-2026-19598、CVSSスコア 9.8）が報告された。対象となるのはバージョン3.3.9以下の全バージョンである。

この脆弱性により、ログインしていない未認証の攻撃者であっても自身の権限を管理者（Administrator）へと引き上げることが可能になる。さらに、サイト所有者を含む任意のユーザーアカウントのパスワードを上書きすることもできるため、悪用された場合はサイト全体が完全に第三者へ乗っ取られる恐れがある。