skip to content
WordPress脆弱性速報

【2026年08月04日】WordPress プラグイン脆弱性まとめ: Chama、Simple Membership など 15 件

/ 8 min read

View more blogs with the tag wordpress , View more blogs with the tag プラグイン , View more blogs with the tag 脆弱性 , View more blogs with the tag セキュリティ , View more blogs with the tag 速報
Table of Contents

本日のまとめ

WordPressをご利用中の皆さんへ、今回は特に注意が必要なプラグインの脆弱性情報を合計15件まとめてお届けします。Chama、Simple Membership、Participants Database、ARMember Premiumといったプラグインに、サイト乗っ取りや情報漏えいにつながる深刻な問題が見つかりました。ご自身のサイトに影響がないか、今すぐ確認しましょう。

Chama

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-16300

認証されていない攻撃者が管理者のパスワードをリセットし、サイトを乗っ取る可能性があります。

→ CVE-2026-16300 の詳しい解説と今すぐやることはこちら

Simple Membership

  • 深刻度: 9.4 / 10 (緊急)
  • CVE: CVE-2026-15930

登録機能の不備により、認証されていない攻撃者が管理者アカウントを乗っ取る危険性があります。

→ CVE-2026-15930 の詳しい解説と今すぐやることはこちら

Participants Database

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-13596

認証されていないユーザーがデータベースに不正な操作を行い、情報を盗み出したり改ざんしたりする可能性があります。

→ CVE-2026-13596 の詳しい解説と今すぐやることはこちら

Super Store Finder

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-12965

認証されていないユーザーがデータベースに不正な操作を行い、サイトの情報を盗み出す可能性があります。

→ CVE-2026-12965 の詳しい解説と今すぐやることはこちら

Import and export users and customers

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-16534

権限の低いユーザーがCSVインポート機能を使って、管理者アカウントを作成したり、既存管理者のパスワードやメールアドレスを上書きしたりする可能性があります。

→ CVE-2026-16534 の詳しい解説と今すぐやることはこちら

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-16532

認証されていないユーザーがデータベースに不正な操作を行い、情報を盗み出したり改ざんしたりする可能性があります。

→ CVE-2026-16532 の詳しい解説と今すぐやることはこちら

ARMember Premium

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-27060

不正なデータが処理されることで、攻撃者がサイト上で任意のPHPコードを実行し、サイトを完全に制御する可能性があります。

→ CVE-2026-27060 の詳しい解説と今すぐやることはこちら

LogMyTrip

  • 深刻度: 8.6 / 10 (重要)
  • CVE: CVE-2026-16572

認証されていないユーザーがクッキーを通じてデータベースに不正な操作を行い、サイトの情報を盗み出す可能性があります。

→ CVE-2026-16572 の詳しい解説と今すぐやることはこちら

SM Page Duplicator

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-16539

編集者権限を持つユーザーがページ複製機能を使って、データベースに不正な操作を行う可能性があります。

→ CVE-2026-16539 の詳しい解説と今すぐやることはこちら

Mapster WP Maps

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-14839

認証されていないユーザーが非公開の投稿や下書き、ゴミ箱に入れた投稿のタイトルや内容を閲覧できる可能性があります。

→ CVE-2026-14839 の詳しい解説と今すぐやることはこちら

Simply Schedule Appointments

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-16540

認証されていないユーザーが、サイト上のすべての予約の個人情報を閲覧したり、プレミアム版ではそれらを削除したりできる可能性があります。

→ CVE-2026-16540 の詳しい解説と今すぐやることはこちら

WooCommerce Product Attachment

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-16285

認証されていないユーザーがメディアライブラリ内のあらゆるファイルを、たとえ非公開のものであってもダウンロードできる可能性があります。

→ CVE-2026-16285 の詳しい解説と今すぐやることはこちら

Huge IT Login

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-16261

認証されていない攻撃者が、パスワードリセットの不備を利用して、管理者のパスワードをリセットしたり、任意のアカウントでログインしてサイトを乗っ取ったりする可能性があります。

→ CVE-2026-16261 の詳しい解説と今すぐやることはこちら

ChatBot for eCommerce – WoowBot

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-15241

認証されていないユーザーがサイト所有者のAPIキーを悪用し、所有者のアカウントでリクエストを送信したり、サイトの知識ベースの内容を取得したりする可能性があります。

→ CVE-2026-15241 の詳しい解説と今すぐやることはこちら

SMS Alert Order Notifications – WooCommerce

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-15206

認証されていない攻撃者が、OTP認証の不備を悪用して管理者を含むあらゆるユーザーとしてログインし、アカウントを乗っ取る可能性があります。

→ CVE-2026-15206 の詳しい解説と今すぐやることはこちら

日頃の備え

今回の脆弱性のように、プラグインやテーマの更新はセキュリティ対策の基本です。自動更新機能を活用し、常に最新の状態を保ちましょう。万が一に備え、定期的にサイト全体のバックアップを取っておくことも重要です。また、使用していないプラグインは無効化して削除することで、攻撃されるリスクを減らせます。日頃からこれらの対策を習慣づけ、安全なサイト運営を心がけてください。

出典