【2026 年 07 月 25 日】WordPress プラグイン脆弱性まとめ: Software Issue Manager など 8 件
/ 5 min read
Table of Contents
本日のまとめ
本日、WordPressプラグインに関する計8件の脆弱性情報が公開されました。中には、認証されていないユーザーがサイトを乗っ取ったり、重要な情報を改ざんしたりできる深刻なものが含まれています。ご自身のサイトに影響があるかどうか、すぐに確認してください。
Software Issue Manager
- 深刻度: 9.1 / 10 (緊急)
- CVE: CVE-2026-12877
認証されていない攻撃者が、データベースから情報を盗み見たり、改ざんしたりする危険性があります。
→ CVE-2026-12877 の詳しい解説と今すぐやることはこちら
Easy Appointments
- 深刻度: 8.1 / 10 (重要)
- CVE: CVE-2026-8789
権限のあるユーザー（寄稿者レベル以上）が、本来削除できない予約関連の情報を勝手に削除する可能性があります。
→ CVE-2026-8789 の詳しい解説と今すぐやることはこちら
WPify Woo
- 深刻度: 8.0 / 10 (重要)
- CVE: CVE-2026-12736
ショップマネージャー権限を持つユーザーが、管理者権限に昇格し、サイト全体を制御する可能性があります。
→ CVE-2026-12736 の詳しい解説と今すぐやることはこちら
ProfilePress
- 深刻度: 7.5 / 10 (重要)
- CVE: CVE-2026-12497
登録フォームの設定に関わらず、訪問者が認証なしで編集者や投稿者といった上位の権限でアカウントを作成できてしまう危険性があります。
→ CVE-2026-12497 の詳しい解説と今すぐやることはこちら
CAFEHAUS API
- 深刻度: 7.5 / 10 (重要)
- CVE: CVE-2026-12981
認証されていない攻撃者が、管理者を含む任意のユーザーのパスワードをリセットし、アカウントを乗っ取る可能性があります。
→ CVE-2026-12981 の詳しい解説と今すぐやることはこちら
WowOptin: Next-Gen Popup Maker
- 深刻度: 7.5 / 10 (重要)
- CVE: CVE-2026-14603
認証されていないユーザーが、サイトのポップアップフォームをすべて無効にしたり、新しいテンプレートを挿入したりする危険性があります。
→ CVE-2026-14603 の詳しい解説と今すぐやることはこちら
EventON Action User
- 深刻度: 7.3 / 10 (重要)
- CVE: CVE-2026-10033
認証されていない攻撃者が、非管理者ユーザーにイベント管理やファイルアップロードの権限を付与し、サイト内での権限を昇格させる可能性があります。
→ CVE-2026-10033 の詳しい解説と今すぐやることはこちら
VikBooking Hotel Booking Engine & PMS
- 深刻度: 7.2 / 10 (重要)
- CVE: CVE-2026-15401
認証されていない攻撃者が、特定の入力フィールドを通じて悪意のあるコードをサイトに埋め込み、訪問者のブラウザで実行させる危険性があります。
→ CVE-2026-15401 の詳しい解説と今すぐやることはこちら
日頃の備え
サイトの安全を守るため、WordPressのコア、テーマ、プラグインは常に最新の状態に保ち、自動更新を有効にすることを強くお勧めします。また、使っていないプラグインは削除し、定期的にサイトのバックアップを取っておきましょう。信頼できない提供元のプラグインは利用を避け、利用中のプラグインについても公式の情報源やセキュリティ情報を定期的に確認する習慣をつけましょう。