skip to content
WordPress脆弱性速報
Table of Contents

本日のまとめ

本日、WordPressの主要プラグイン「Realtyna Organic IDX plugin + WPL Real Estate」「ShopMonitor.io」「Kirki」「Ultimate Member」を含む合計15件の脆弱性情報が公開されました。これらの脆弱性には、サイトの乗っ取りや管理者権限の不正取得につながる重大なものが含まれています。ご自身のサイトに影響があるか、速やかに確認し対応してください。

Realtyna Organic IDX plugin + WPL Real Estate

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-14483

ログインしていない攻撃者が、サイトに悪意のあるファイルをアップロードし、サイトを乗っ取る可能性があります。

→ CVE-2026-14483 の詳しい解説と今すぐやることはこちら

ShopMonitor.io

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-14919

ログインしていない攻撃者が、パスワードリセット用のメールを乗っ取り、サイトの管理者に成りすます危険性があります。

→ CVE-2026-14919 の詳しい解説と今すぐやることはこちら

Frontend Admin by DynamiApps

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-13609

ログインしていない攻撃者が、サイトに悪意のあるスクリプトを埋め込み、サイト訪問者のブラウザで実行させる可能性があります。

→ CVE-2026-13609 の詳しい解説と今すぐやることはこちら

Realtyna Organic IDX plugin + WPL Real Estate

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-16236

購読者以上の権限を持つログインユーザーが、サイトに悪意のあるファイルをアップロードし、サイトを乗っ取る可能性があります。

→ CVE-2026-16236 の詳しい解説と今すぐやることはこちら

Kirki

  • 深刻度: 8.6 / 10 (重要)
  • CVE: CVE-2026-12721

ログインしていない攻撃者が、データベースの情報を不正に閲覧・改ざんする可能性があります。

→ CVE-2026-12721 の詳しい解説と今すぐやることはこちら

Product Feed Manager for WooCommerce

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-15258

寄稿者以上の権限を持つユーザーが、データベースの情報を不正に閲覧・改ざんする可能性があります。

→ CVE-2026-15258 の詳しい解説と今すぐやることはこちら

miniOrange 2FA

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-12695

ログインパスワードを知っている攻撃者が、2要素認証を回避してアカウントに不正アクセスする可能性があります。

→ CVE-2026-12695 の詳しい解説と今すぐやることはこちら

Ultimate Member

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-12251

サイトの設定によっては、ログインしていないユーザーが管理者権限で登録し、サイトを乗っ取る可能性があります。

→ CVE-2026-12251 の詳しい解説と今すぐやることはこちら

GeekyBot

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-15048

ログインしていないユーザーが、サイトのチャット履歴からユーザー名やユーザーIDなどの機密情報を閲覧する可能性があります。

→ CVE-2026-15048 の詳しい解説と今すぐやることはこちら

JS Help Desk

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-14930

ログインしていないユーザーが、他のユーザーのサポートチケットにファイルを勝手に添付する可能性があります。

→ CVE-2026-14930 の詳しい解説と今すぐやることはこちら

GiveWP

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-14319

ログインしていないユーザーが、寄付者の名前や定期寄付の詳細といった機密情報を閲覧する可能性があります。

→ CVE-2026-14319 の詳しい解説と今すぐやることはこちら

Kirki

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-12720

ログインしていない攻撃者が、サイトに悪意のあるデータを送り込み、管理者がそのデータを見た際にサーバー上で不正なコードが実行される可能性があります。

→ CVE-2026-12720 の詳しい解説と今すぐやることはこちら

Demi - One Click Demo Import, Backup & Site Migration

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-14333

ログインしていない攻撃者が、サイトのバックアップファイル（データベースやユーザーのパスワードハッシュを含む）をダウンロードする可能性があります。

→ CVE-2026-14333 の詳しい解説と今すぐやることはこちら

FlxWoo

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-14830

ログインしていない攻撃者が、支払い処理をせずにWooCommerceの注文を完了させることで、無料で商品を入手する可能性があります。

→ CVE-2026-14830 の詳しい解説と今すぐやることはこちら

ElementsKit Elementor Addons

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-13392

マルチサイト環境でサブサイトの管理者が、通常は許可されないサーバー上のPHPコードを実行する可能性があります。

→ CVE-2026-13392 の詳しい解説と今すぐやることはこちら

日頃の備え

WordPressサイトのセキュリティを維持するためには、常にプラグインやテーマを最新の状態に保つことが重要です。自動更新機能の活用、定期的なサイトのバックアップ、そして使用していないプラグインやテーマの削除を心がけましょう。また、管理画面へのアクセス制限や強力なパスワード設定も、不正アクセス防止に役立ちます。

出典