skip to content
WordPress脆弱性速報

【2026年07月29日】WordPress プラグイン脆弱性まとめ: SMS Alert, TrueBooker など 15 件

/ 8 min read

View more blogs with the tag wordpress , View more blogs with the tag プラグイン , View more blogs with the tag 脆弱性 , View more blogs with the tag セキュリティ , View more blogs with the tag 速報
Table of Contents

本日のまとめ

この速報記事では、WordPressのプラグインとテーマに発見された、合計15件の重要な脆弱性情報についてお伝えします。 特に「SMS Alert」「TrueBooker」「Hybrid Composer」といったプラグインに、サイトの管理者権限が奪われる危険性がある深刻な問題が見つかっています。 お使いのサイトでこれらのプラグインやテーマを利用している場合は、早急な確認と対応が必要です。

SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-15014

ログイン認証を回避されて、管理者を含む既存のユーザーアカウントが乗っ取られる危険性があります。

→ CVE-2026-15014 の詳しい解説と今すぐやることはこちら

TrueBooker Appointment Booking

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-14545

ログインしていない攻撃者によって、サイトの管理者を含むあらゆるアカウントのパスワードが勝手に変更され、サイトが乗っ取られる危険性があります。

→ CVE-2026-14545 の詳しい解説と今すぐやることはこちら

WordPress Hybrid Composer

  • 深刻度: 9.3 / 10 (緊急)
  • CVE: CVE-2019-25738

ログインしていない攻撃者により、WordPressの設定が勝手に変更され、管理者アカウントが作成されてサイトが乗っ取られる危険性があります。

→ CVE-2019-25738 の詳しい解説と今すぐやることはこちら

WP Password Policy

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-15992

購読者レベル以上の権限を持つログイン済みユーザーが、自分の権限を管理者まで昇格させ、サイトを完全に制御する危険性があります。

→ CVE-2026-15992 の詳しい解説と今すぐやることはこちら

Eazy Plugin Manager – Powerful Plugin Management Solution for WordPress

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-14328

購読者レベル以上の権限を持つログイン済みユーザーが、機密情報を取得し、管理者権限のログイン情報を生成してサイトを乗っ取る危険性があります。

→ CVE-2026-14328 の詳しい解説と今すぐやることはこちら

Membership

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2020-37244

ログインしていない攻撃者によって、データベース内の機密情報（ユーザー情報など）が盗み見される危険性があります。

→ CVE-2020-37244 の詳しい解説と今すぐやることはこちら

Google Review Slider

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2019-25745

ログインしていない攻撃者によって、データベース内の機密情報（ユーザー情報など）が盗み見される危険性があります。

→ CVE-2019-25745 の詳しい解説と今すぐやることはこちら

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2017-20247

ログインしていない攻撃者によって、データベース内の機密情報（ユーザー認証情報やテーブル内容など）が盗み見される危険性があります。

→ CVE-2017-20247 の詳しい解説と今すぐやることはこちら

404 Redirection Manager

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2016-20071

ログインしていない攻撃者によって、データベース内の機密情報が盗み見される危険性があります。

→ CVE-2016-20071 の詳しい解説と今すぐやることはこちら

Malware Security and Bruteforce Firewall

  • 深刻度: 8.7 / 10 (重要)
  • CVE: CVE-2021-47977

ログインしていない攻撃者によって、サーバー上の重要なファイル（設定ファイルなど）が読み取られる危険性があります。

→ CVE-2021-47977 の詳しい解説と今すぐやることはこちら

HS Brand Logo Slider

  • 深刻度: 8.7 / 10 (重要)
  • CVE: CVE-2020-37227

ログイン済みユーザーによって、悪意のあるファイルをサーバーにアップロードされ、サイトが乗っ取られる危険性があります。

→ CVE-2020-37227 の詳しい解説と今すぐやることはこちら

Cherry Framework Themes

  • 深刻度: 8.7 / 10 (重要)
  • CVE: CVE-2018-25437

ログインしていない攻撃者によって、サイトのバックアップファイルがダウンロードされ、サイトの構成情報やコンテンツが流出する危険性があります。

→ CVE-2018-25437 の詳しい解説と今すぐやることはこちら

  • 深刻度: 8.7 / 10 (重要)
  • CVE: CVE-2016-20081

ログインしていない攻撃者によって、サーバー上の重要なファイル（設定ファイルなど）がダウンロードされ、機密情報が流出する危険性があります。

→ CVE-2016-20081 の詳しい解説と今すぐやることはこちら

WordPress-Coding-Standards

  • 深刻度: 8.6 / 10 (重要)
  • CVE: CVE-2026-45293

開発環境などでPHPコードの品質チェックツールとしてこのプラグインを使用している場合、悪意のあるPHPコードが含まれると、コードチェック実行時にサーバーで任意のコマンドが実行される危険性があります。

→ CVE-2026-45293 の詳しい解説と今すぐやることはこちら

Web Directory Free

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-14785

ログインしていない攻撃者によって、データベースから機密情報が抜き取られる危険性があります。

→ CVE-2026-14785 の詳しい解説と今すぐやることはこちら

日頃の備え

WordPressサイトの安全を守るために、日頃から以下の点に注意しましょう。 お使いのプラグインやテーマに更新版が出ていないか、こまめに確認し、速やかに最新版にアップデートしてください。アップデート前に必ずサイト全体のバックアップを取りましょう。 利用していないプラグインやテーマは、セキュリティリスクを減らすためにも削除することをおすすめします。 また、ログイン認証情報を強化するために、複雑なパスワードを設定し、二段階認証（2FA）の利用も検討しましょう。

出典