skip to content
WordPress脆弱性速報

【2026年07月18日】WordPress プラグイン脆弱性まとめ: AI Copilot、Aimogen Pro、Bricksforge など 10 件

/ 15 min read

View more blogs with the tag wordpress , View more blogs with the tag プラグイン , View more blogs with the tag 脆弱性 , View more blogs with the tag セキュリティ , View more blogs with the tag 速報
Table of Contents

本日のまとめ

本日、WordPress本体に深刻なSQLインジェクションの脆弱性が報告されました。また、AI Copilot、Aimogen Pro、Bricksforgeといった人気プラグインにも、未認証で管理者に昇格できるといった**緊急（Critical）**の脆弱性が見つかっています。その他、ProfilePress、User Registration & Membership、LearnPress、PhonePe Payment Solutions、Kali Formsでも、**重要（High）**な脆弱性が合計10件報告されています。ご自身のサイトに影響がないか確認し、すぐに適切な対応を取りましょう。

AI Copilot: 未認証で管理者に昇格できる危険性

  • 対象: AI Copilot (AI Chatbot & Workflow Automation by AIWU)
  • 影響バージョン: 1.5.4 未満
  • 深刻度: 9.8 / 10 (緊急)

どんな危険があるか

この脆弱性を悪用されると、攻撃者が特別な認証なしに管理者の権限を持つユーザーをサイト上に作成したり、既存のユーザーの権限を管理者レベルに引き上げたりする可能性があります。これにより、サイトの内容を改ざんされたり、完全にコントロールされたりする危険があります。

今すぐやること

AI Copilotプラグインを利用している場合は、速やかに最新バージョン（1.5.4 以降）にアップデートしてください。アップデートが提供されていない、またはすぐに実行できない場合は、プラグインを一時的に無効化することを強く推奨します。公式情報を確認し、指示に従ってください。

出典

Aimogen Pro: 未認証で管理者に昇格できる危険性

  • 対象: Aimogen Pro - All-in-One AI Content Writer, Editor, ChatBot & Automation Toolkit
  • 影響バージョン: 2.8.4 以下
  • 深刻度: 9.8 / 10 (緊急)

どんな危険があるか

認証されていない攻撃者が、特定の関数を悪用することで、管理者アカウントの作成を含む任意のPHP関数を実行できる可能性があります。これにより、サイトを完全にコントロールされ、改ざんや情報漏洩といった重大な被害につながる危険があります。

今すぐやること

Aimogen Proプラグインを利用している場合は、速やかに最新バージョンにアップデートしてください。公式の変更履歴を確認し、修正バージョンが提供されているかを確認し、指示に従って更新してください。

出典

Bricksforge: 未認証で管理者に昇格できる危険性

  • 対象: Bricksforge
  • 影響バージョン: 3.1.8.6 以下
  • 深刻度: 9.8 / 10 (緊急)

どんな危険があるか

サイト上に公開されているBricksforge Pro Formsの登録フォームが設定されている場合、認証されていない攻撃者が細工されたリクエストを送信することで、新しい管理者アカウントを作成できる可能性があります。これにより、サイトが完全にコントロールされ、情報漏洩や改ざんの危険があります。

今すぐやること

Bricksforgeプラグインを利用している場合は、速やかに最新バージョンにアップデートしてください。公式の変更履歴を確認し、修正バージョンが提供されているかを確認し、指示に従って更新してください。

出典

WordPress (本体): SQLインジェクションの可能性

  • 対象: WordPress (本体)
  • 影響バージョン: 6.8.0 〜 < 6.8.6, 6.9.0 〜 < 6.9.5, 7.0.0 〜 < 7.0.2
  • 深刻度: 9.1 / 10 (緊急)

どんな危険があるか

WordPress本体のデータベース問い合わせ機能（WP_Query）の処理に問題があり、特定の条件下でSQLインジェクションが発生する可能性があります。もしプラグインやテーマが信頼できない入力をこの機能に渡してしまうと、攻撃者によってデータベースから情報が盗まれたり、データが改ざんされたりする危険があります。

今すぐやること

WordPress本体を速やかに最新バージョン（7.0.2 以降）に更新してください。バージョン6.8.xをご利用の場合は6.8.6以降、6.9.xをご利用の場合は6.9.5以降への更新が必要です。

出典

ProfilePress: 認証済みユーザーによる任意のファイルアップロードの可能性

  • 対象: ProfilePress (Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress)
  • 影響バージョン: 4.16.18 以下
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

このプラグインには、通常許可されない実行可能なファイル形式（.exe, .apk, .msiなど）のアップロードを、グローバルに許可してしまう設定ミスがあります。これにより、管理者権限以上の認証されたユーザー（例えば、寄稿者など）が悪意のある実行ファイルをアップロードし、そのファイルをサーバー上で実行させることで、リモートコード実行につながる危険性があります。

今すぐやること

ProfilePressプラグインを利用している場合は、速やかに最新バージョンにアップデートしてください。公式の変更履歴を確認し、修正バージョンが提供されているかを確認し、指示に従って更新してください。

出典

User Registration & Membership: 未認証で管理者に昇格できる危険性

  • 対象: User Registration & Membership
  • 影響バージョン: 5.2.3 未満
  • 深刻度: 8.1 / 10 (重要)

どんな危険があるか

このプラグインの会員登録機能において、攻撃者が公開されている登録フォームを通じて、本来許可されていない任意の会員ティア（管理者権限を含む）に登録できてしまう可能性があります。これにより、認証されていない攻撃者が管理者に昇格し、サイトを乗っ取られる危険があります。

今すぐやること

User Registration & Membershipプラグインを利用している場合は、速やかに最新バージョン（5.2.3 以降）にアップデートしてください。アップデートが提供されていない、またはすぐに実行できない場合は、プラグインを一時的に無効化することを強く推奨します。公式情報を確認し、指示に従ってください。

出典

WordPress (本体): REST APIの脆弱性、リモートコード実行の可能性

  • 対象: WordPress (本体)
  • 影響バージョン: 6.9.0 〜 < 6.9.5, 7.0.0 〜 < 7.0.2
  • 深刻度: 7.5 / 10 (重要)

どんな危険があるか

WordPressのREST APIのバッチ処理に問題があり、SQLインジェクションの脆弱性（CVE-2026-60137）と組み合わせることで、認証されていない攻撃者がサーバー上で任意のコードを実行できる可能性があります。これにより、サイトが完全にコントロールされ、甚大な被害につながる危険があります。

今すぐやること

WordPress本体を速やかに最新バージョン（7.0.2 以降）に更新してください。バージョン6.9.xをご利用の場合は6.9.5以降への更新が必要です。

出典

LearnPress: 認証なしでクイズの解答が漏洩する危険性

  • 対象: LearnPress – WordPress LMS Plugin for Create and Sell Online Courses
  • 影響バージョン: 4.4.1 以下
  • 深刻度: 7.5 / 10 (重要)

どんな危険があるか

この学習管理システム（LMS）プラグインには、認証されていないユーザーがREST APIを介して、サイト内のクイズ問題の正解、すべての選択肢、解説、問題の内容を抽出できてしまう脆弱性があります。これにより、有料コースのクイズ情報なども、受講していない攻撃者に知られてしまう危険性があります。

今すぐやること

LearnPressプラグインを利用している場合は、速やかに最新バージョンにアップデートしてください。公式の変更履歴を確認し、修正バージョンが提供されているかを確認し、指示に従って更新してください。

出典

PhonePe Payment Solutions: 支払いをバイパスできる危険性

  • 対象: PhonePe Payment Solutions
  • 影響バージョン: 3.1.0 未満
  • 深刻度: 7.5 / 10 (重要)

どんな危険があるか

この支払いプラグインでは、入金通知の正当性確認に問題があり、認証されていない攻撃者が偽の支払成功通知を作成できてしまう可能性があります。これにより、支払いが行われていないWooCommerceの注文が、あたかも支払い済みであるかのように処理され、不正な商品の取得やサービスの利用につながる危険性があります。

今すぐやること

PhonePe Payment Solutionsプラグインを利用している場合は、速やかに最新バージョン（3.1.0 以降）にアップデートしてください。アップデートが提供されていない、またはすぐに実行できない場合は、プラグインを一時的に無効化することを強く推奨します。公式情報を確認し、指示に従ってください。

出典

Kali Forms: 未認証で保存型クロスサイトスクリプティングの危険性

  • 対象: Kali Forms — Contact Form & Drag-and-Drop Builder
  • 影響バージョン: 2.4.18 以下
  • 深刻度: 7.2 / 10 (重要)

どんな危険があるか

このフォームプラグインでは、特定のフィールド（‘digitalSignature’）の値に対する入力検証と出力エスケープが不十分なため、認証されていない攻撃者が悪意のあるウェブスクリプトを注入できる可能性があります。このスクリプトは、注入されたページにアクセスしたユーザーのブラウザ上で実行され、セッション情報の盗取やサイトの改ざんなどにつながる危険性があります。

今すぐやること

Kali Formsプラグインを利用している場合は、速やかに最新バージョンにアップデートしてください。公式の変更履歴を確認し、修正バージョンが提供されているかを確認し、指示に従って更新してください。

出典

日頃の備え

WordPressサイトを安全に保つためには、日頃からの対策が非常に重要です。プラグインやテーマの自動更新を有効にし、定期的にサイト全体のバックアップを取っておきましょう。また、使っていないプラグインやテーマは削除し、WordPress本体、プラグイン、テーマは常に最新の状態に保つことを心がけてください。セキュリティ情報を定期的にチェックし、早めに対応することがサイトを守る第一歩です。

出典