skip to content
WordPress脆弱性速報
Table of Contents

本日のまとめ

本日、WordPressの主要なプラグイン「Product Addons」「WP Foodbakery」「Events Manager」「MapSVG」「Transbank Webpay」の計5件において、セキュリティ上の高危険度な脆弱性が新たに報告されました。これらの脆弱性は、サイトの機密情報が漏えいしたり、サイトが乗っ取られたりする危険性を含んでいます。あなたのサイトが影響を受けるか、すぐに確認しましょう。

Product Addons and Product Options With Custom Fields

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-12968

このプラグインの特定のバージョンでは、ログインしていない攻撃者が悪意のある画像ファイル（SVG）をアップロードできます。このSVGファイルにはスクリプトが埋め込まれており、サイト管理者がそのファイルを開くと、管理者のブラウザ上で攻撃者の意図するスクリプトが実行される危険があります。

→ CVE-2026-12968 の詳しい解説と今すぐやることはこちら

WP Foodbakery

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-15802

このプラグインの特定のバージョンには、認証された攻撃者（購読者レベル以上）がサーバー上の任意のファイルを削除できる脆弱性があります。これにより、wp-config.phpのような重要なファイルを削除されると、サイトが乗っ取られるなどの深刻な被害につながる可能性があります。

→ CVE-2026-15802 の詳しい解説と今すぐやることはこちら

Events Manager

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-12987

イベント予約をユーザー登録なしで行う設定のサイトで、このプラグインの特定のバージョンに脆弱性があります。認証されていない攻撃者が予約データを通じてデータベースに不正な操作を行い、ユーザーのパスワード情報やサイトの秘密鍵などの機密情報を盗み見ることができる危険があります。

→ CVE-2026-12987 の詳しい解説と今すぐやることはこちら

MapSVG – Vector maps, Image maps, Google Maps

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-1771

このプラグインの特定のバージョンには、管理者権限を持つ攻撃者が、許可されていない種類のファイルをサーバーにアップロードできる脆弱性があります。これにより、サーバー上で悪意のあるプログラムを実行され、サイトが乗っ取られる危険性があります。

→ CVE-2026-1771 の詳しい解説と今すぐやることはこちら

Transbank Webpay

  • 深刻度: 7.1 / 10 (重要)
  • CVE: CVE-2026-6858

このプラグインの特定のバージョンでは、記録されるログの処理に問題があり、ログインしていない攻撃者がサイトの管理画面に悪意のあるスクリプトを埋め込むことができます。これにより、管理者ユーザーが管理画面を見た際に、そのスクリプトが実行されてしまう危険があります。

→ CVE-2026-6858 の詳しい解説と今すぐやることはこちら

日頃の備え

ご自身のサイトを守るために、以下の一般的な対策を日頃から心がけましょう。

  1. プラグイン・テーマの更新: 脆弱性が報告されたら、速やかに最新バージョンに更新してください。自動更新機能の活用も検討しましょう。
  2. 定期的なバックアップ: 万が一の事態に備え、サイトのデータとデータベースのバックアップを定期的に取得しておきましょう。
  3. 不要なものの削除: 使用していないプラグインやテーマは、セキュリティリスクを減らすためにも削除することをお勧めします。
  4. 管理画面の保護: 推測されにくいパスワードを設定し、可能であれば二段階認証を導入しましょう。 これらの対策を継続することで、サイトの安全性を高めることができます。

出典