skip to content
WordPress脆弱性速報
Table of Contents

本日のまとめ

本日、WordPressの主要なプラグインに合計15件の脆弱性情報が公開されました。特に「InfiniteWP Client」「WP Directory Kit」「File Manager」などのプラグインで、サイトの乗っ取りや重要な情報漏えいにつながるおそれのある深刻な問題が見つかっています。ご自身のサイトに影響がないか、すぐに確認しましょう。

InfiniteWP Client

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-15038

「InfiniteWP Client」プラグインの脆弱性により、認証されていない攻撃者がサイト管理者の権限を乗っ取り、サイト全体を不正に操作するおそれがあります。特にマルチサイト環境では深刻です。

→ CVE-2026-15038 の詳しい解説と今すぐやることはこちら

WP Directory Kit

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-18473

「WP Directory Kit」プラグインにSQLインジェクションの脆弱性が見つかりました。認証されていない攻撃者によって、データベース内の情報が盗み見られたり、改ざんされたりする危険があります。

→ CVE-2026-18473 の詳しい解説と今すぐやることはこちら

ProSolution WP Client

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-19053

「ProSolution WP Client」プラグインの脆弱性により、認証されていない訪問者がデータベース内の情報を不正に取得する可能性があります。

→ CVE-2026-19053 の詳しい解説と今すぐやることはこちら

CubeWP Framework

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-17017

「CubeWP Framework」プラグインでSQLインジェクションの脆弱性が報告されました。購読者権限以上のユーザーが悪用することで、サイトのデータベース情報が盗み見られる可能性があります。

→ CVE-2026-17017 の詳しい解説と今すぐやることはこちら

Admin Safety Guard

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-16578

「Admin Safety Guard」プラグインの脆弱性により、認証されていない攻撃者が、登録ユーザーのユーザー名、メールアドレス、役割、2段階認証の状況といった情報を取得できるおそれがあります。

→ CVE-2026-16578 の詳しい解説と今すぐやることはこちら

WP Directory Kit

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-16594

「WP Directory Kit」プラグインで、購読者権限のユーザーがAPIキーや秘密鍵を含む重要なプラグイン設定情報を取得できる脆弱性が見つかりました。

→ CVE-2026-16594 の詳しい解説と今すぐやることはこちら

GeoDirectory

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-16988

「GeoDirectory」プラグインの脆弱性により、認証されていないユーザーが公開前の投稿（下書きや保留中のリスト）のタイトルや正確な位置情報を取得できるおそれがあります。

→ CVE-2026-16988 の詳しい解説と今すぐやることはこちら

WP Data Access

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-18032

「WP Data Access」プラグインの脆弱性により、認証されていない攻撃者がサイトのデータベースから任意の情報を読み取ることができ、ユーザーのパスワードハッシュなどが漏えいする危険があります。

→ CVE-2026-18032 の詳しい解説と今すぐやることはこちら

WPC Order Tip for WooCommerce

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-18357

「WPC Order Tip for WooCommerce」プラグインの脆弱性により、認証されていない攻撃者が顧客の氏名、注文ID、ステータス、金額、注文日などの機密性の高い注文情報を取得できるおそれがあります。

→ CVE-2026-18357 の詳しい解説と今すぐやることはこちら

WP Maps Pro

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-18464

「WP Maps Pro」プラグインの脆弱性により、認証されていない攻撃者がサーバーに過負荷をかけることで、サイトが一時的に利用できなくなるサービス拒否攻撃を引き起こす可能性があります。

→ CVE-2026-18464 の詳しい解説と今すぐやることはこちら

File Manager

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-17541

「File Manager」プラグインの脆弱性により、認証されていないユーザーがサイト上で行われたファイル操作のログを閲覧し、ファイルパスや操作したユーザー名を知るおそれがあります。

→ CVE-2026-17541 の詳しい解説と今すぐやることはこちら

File Manager

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-17542

「File Manager」プラグインで、購読者権限のユーザーがWordPressインストールディレクトリ全体を閲覧し、機密情報を含むファイルをダウンロードできる脆弱性が見つかりました。

→ CVE-2026-17542 の詳しい解説と今すぐやることはこちら

Login & Register Forms

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-18470

「Login & Register Forms」プラグインの脆弱性により、認証されていないユーザーが登録済みのユーザー、特に管理者のメールアドレスを知るおそれがあります。

→ CVE-2026-18470 の詳しい解説と今すぐやることはこちら

HT Contact Form

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-14206

「HT Contact Form」プラグインの脆弱性により、認証されていないユーザーがフォームの下書きに保存された個人情報（氏名、メール、電話番号、住所など）を閲覧できる危険があります。

→ CVE-2026-14206 の詳しい解説と今すぐやることはこちら

Contact Form to Any API

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-18946

「Contact Form to Any API」プラグインの脆弱性により、認証されていない攻撃者が他のユーザーがフォームを通じてアップロードしたファイルを推測し、ダウンロードできるおそれがあります。

→ CVE-2026-18946 の詳しい解説と今すぐやることはこちら

日頃の備え

WordPressサイトの安全を保つためには、プラグインやテーマを常に最新の状態に保つことが非常に重要です。利用していないプラグインやテーマは削除し、定期的にサイトのバックアップを取る習慣をつけましょう。これにより、万が一の事態が発生しても、迅速な復旧が可能になります。

出典