【2026年8月6日】WordPressプラグイン脆弱性まとめ: Webinfos, Dokanなど15件 • WordPress脆弱性速報

本日のまとめ

本日、WordPressサイトの運営に関わる重要なセキュリティ情報をお届けします。今回はWebinfos、Dokan、Kadence Membershipsなど、計15件のプラグインに深刻な脆弱性が見つかりました。これらの脆弱性は、サイトの乗っ取りや情報の漏洩など、重大な被害につながる可能性があります。ご自身のサイトに影響がないか、すぐに確認してください。

Webinfos

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-12872

ログインしていない悪意のある第三者が、あなたのサイトに不正なファイルをアップロードし、サイトを乗っ取る危険性があります。

→ CVE-2026-12872 の詳しい解説と今すぐやることはこちら

POUCO Import Users

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-16256

ログインしていない悪意のある第三者が、管理者アカウントを新規作成し、あなたのサイトを完全に掌握する可能性があります。

→ CVE-2026-16256 の詳しい解説と今すぐやることはこちら

Membership Plugin – Kadence Memberships

深刻度: 9.3 / 10 (緊急)
CVE: CVE-2026-9273

悪意のある第三者がパスワードリセットの仕組みを悪用し、サイト上のアカウント（管理者含む）を乗っ取る可能性があります。

→ CVE-2026-9273 の詳しい解説と今すぐやることはこちら

Easy Post Submission

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2026-4431

ログインしていない悪意のある第三者が、既存の投稿のタイトルや内容、カテゴリなどを勝手に変更したり、公開中の記事を下書きに戻したりする可能性があります。

→ CVE-2026-4431 の詳しい解説と今すぐやることはこちら

Multi Uploader for Gravity Forms

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2026-5581

ログインしていない悪意のある第三者が、あなたのサイトにアップロードされている画像を永久に削除し、メディアライブラリを破壊する可能性があります。

→ CVE-2026-5581 の詳しい解説と今すぐやることはこちら

Ajax Load More

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2026-15360

ログインしていない悪意のある第三者が、サイトのデータベースから機密情報を盗み出す可能性があります。

→ CVE-2026-15360 の詳しい解説と今すぐやることはこちら

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2026-15210

ログインしていない悪意のある第三者が、OTP（ワンタイムパスワード）を繰り返し試行することで、サイト上の任意のアカウント（管理者含む）を乗っ取る可能性があります。

→ CVE-2026-15210 の詳しい解説と今すぐやることはこちら

DynamicKit for Elementor

深刻度: 8.8 / 10 (重要)
CVE: CVE-2026-14596

ログインしていない悪意のある第三者が、パスワードリセットのメールを悪用し、サイト上のアカウントを乗っ取る危険性があります。

→ CVE-2026-14596 の詳しい解説と今すぐやることはこちら

Dokan

深刻度: 8.8 / 10 (重要)
CVE: CVE-2026-8761

サイトにログインしている悪意のあるユーザー（ベンダーなど）が、管理者を含む任意のWordPressユーザーの情報を変更・削除したり、パスワードを設定してサイトを乗っ取ったりする可能性があります。

→ CVE-2026-8761 の詳しい解説と今すぐやることはこちら

LightSync Pro

深刻度: 8.8 / 10 (重要)
CVE: CVE-2026-6147

サイトにログインしている悪意のあるユーザー（投稿者など）が、不正なファイルをサイトにアップロードし、サイトを乗っ取る危険性があります。

→ CVE-2026-6147 の詳しい解説と今すぐやることはこちら

深刻度: 8.8 / 10 (重要)
CVE: CVE-2026-18322

ログインしていない悪意のある第三者が、細工されたリクエストを送信することで、サイトに管理者アカウントを新規作成し、サイトを乗っ取る可能性があります。

→ CVE-2026-18322 の詳しい解説と今すぐやることはこちら

WPFormify

深刻度: 8.2 / 10 (重要)
CVE: CVE-2026-6627

ログインしていない悪意のある第三者が、サイトのStripe決済情報を書き換えたり削除したりして、決済を妨害したり、自身のStripeアカウントに誘導したりする危険性があります。

→ CVE-2026-6627 の詳しい解説と今すぐやることはこちら

Chat On Desk Order Notifications

深刻度: 8.1 / 10 (重要)
CVE: CVE-2026-14309

ログインしていない悪意のある第三者が、ワンタイムパスワードの検証を回避して、管理者を含む任意のユーザーのパスワードをリセットし、アカウントを乗っ取る可能性があります。

→ CVE-2026-14309 の詳しい解説と今すぐやることはこちら

深刻度: 8.1 / 10 (重要)
CVE: CVE-2026-14836

ログインしていない悪意のある第三者が、パスワードリセットの試行回数制限を回避し、ブルートフォース攻撃によってアカウント（管理者含む）を乗っ取る可能性があります。

→ CVE-2026-14836 の詳しい解説と今すぐやることはこちら

User Profile Builder

深刻度: 8.1 / 10 (重要)
CVE: CVE-2026-15368

ログインしていない悪意のある第三者が、新規登録後の自動ログインの仕組みを悪用し、既存の任意のアカウント（管理者含む）にログインできてしまう可能性があります。

→ CVE-2026-15368 の詳しい解説と今すぐやることはこちら

日頃の備え

今回の脆弱性に限らず、WordPressサイトのセキュリティを維持するためには、日頃からの対策が重要です。プラグインやテーマは常に最新版に更新し、自動更新設定を活用しましょう。万が一に備え、定期的なサイトのバックアップも不可欠です。また、使用していないプラグインやテーマは削除し、不必要なリスクを減らすように心がけてください。