skip to content
WordPress脆弱性速報
Table of Contents

本日のまとめ

本日、WordPressプラグインの脆弱性に関する重要な情報が合計12件公開されました。特に「Admin and Site Enhancements (ASE) Pro」「Bookly」「BuddyPress」「miniOrange Social Login and Register」といった広く使われているプラグインに重大な危険性が見つかっています。これらの脆弱性は、あなたのサイトを乗っ取られたり、情報が漏えいしたりする可能性を秘めています。この記事を読んで、ご自身のサイトへの影響を素早く確認し、必要な対策を検討しましょう。

Admin and Site Enhancements (ASE) Pro

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-16610

ログインしていない悪意のある第三者が、サイトのサーバー上で不正なプログラムを勝手に実行できる可能性があります。これにより、サイトが完全に掌握される危険性があります。

→ CVE-2026-16610 の詳しい解説と今すぐやることはこちら

Remote API

  • 深刻度: 9.0 / 10 (緊急)
  • CVE: CVE-2026-14602

ログインしていない悪意のある第三者が、不正なデータを送り込むことで、サイト上でプログラムを勝手に実行できる可能性があります。

→ CVE-2026-14602 の詳しい解説と今すぐやることはこちら

FleekDash V2

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-14356

購読者（Subscriber）レベルの権限を持つユーザーが、管理者を含む他のユーザーのアカウント情報を書き換え、サイトを乗っ取れる危険性があります。

→ CVE-2026-14356 の詳しい解説と今すぐやることはこちら

Bookly (Online Scheduling and Appointment Booking System)

  • 深刻度: 8.6 / 10 (重要)
  • CVE: CVE-2026-13395

ログインしていない悪意のある第三者が、サイトのデータベースからパスワードのハッシュ値などの重要な情報を盗み見ることができる可能性があります。

→ CVE-2026-13395 の詳しい解説と今すぐやることはこちら

miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn)

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-14300

ログインしていない悪意のある第三者が、管理者を含む他のユーザーのアカウントを乗っ取ることができる可能性があります。

→ CVE-2026-14300 の詳しい解説と今すぐやることはこちら

Eventin

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-13178

ログインしていない悪意のある第三者が、支払いを行わずに「支払い済み」とマークされた注文を勝手に作成できる可能性があります。

→ CVE-2026-13178 の詳しい解説と今すぐやることはこちら

WP Travel Engine

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-12500

ログインしていない悪意のある第三者が、サイト全体の旅行難易度設定などを勝手に変更できる可能性があります。

→ CVE-2026-12500 の詳しい解説と今すぐやることはこちら

Customer Switching for WooCommerce

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-15240

顧客レベルの権限を持つユーザーが、管理者を含む他のユーザーのアカウントに切り替えることができ、サイトが乗っ取られる危険性があります。

→ CVE-2026-15240 の詳しい解説と今すぐやることはこちら

BuddyPress

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-1360

購読者（Subscriber）レベルの権限を持つユーザーが、不正なデータを送り込むことで、サイト上でプログラムを勝手に実行できる可能性があります。

→ CVE-2026-1360 の詳しい解説と今すぐやることはこちら

ProfileGrid

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-12687

ログインしていない悪意のある第三者が、管理者など高い権限を持つグループに直接登録し、サイトの管理者権限を取得できる可能性があります。

→ CVE-2026-12687 の詳しい解説と今すぐやることはこちら

Subscriptions for WooCommerce

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-15397

ショップマネージャー（Shop Manager）以上の権限を持つユーザーが、権限がないにも関わらず、任意のWordPress.orgプラグインをインストール・有効化できる可能性があります。

→ CVE-2026-15397 の詳しい解説と今すぐやることはこちら

WOLF - WordPress Posts Bulk Editor and Manager

  • 深刻度: 7.1 / 10 (重要)
  • CVE: CVE-2026-14234

ログイン中の管理者をだまして、悪意のあるスクリプトを含むコンテンツをサイトに書き込ませることで、閲覧者に影響を与える可能性があります。

→ CVE-2026-14234 の詳しい解説と今すぐやることはこちら

日頃の備え

お使いのサイトが上記のプラグインを使用している場合は、早急な確認と対策が不可欠です。普段から以下の点に気をつけ、サイトを安全に保ちましょう。プラグインやテーマは常に最新の状態に保ち、自動更新機能を活用して速やかに更新することが重要です。使っていないプラグインやテーマは削除し、脆弱性の原因となるリスクを減らしましょう。また、万が一の事態に備えて定期的にサイトのバックアップを取り、アカウントのパスワードは複雑なものにする、多要素認証を導入するといった基本的なセキュリティ対策も怠らないようにしましょう。

出典