【2026年08月13日】WordPress 脆弱性速報: Events Manager, WooCommerce Subscriptions など 15 件 • WordPress脆弱性速報

本日のまとめ

WordPressをご利用の皆さまへ、プラグインの重要な脆弱性情報をお届けします。今回は「Events Manager」「WooCommerce Subscriptions」「WP Directory Kit」といった主要なプラグインを含む合計15件の脆弱性が報告されました。これらの脆弱性は、サイトへの不正アクセスやデータの改ざん、最悪の場合はサーバーの乗っ取りに繋がる恐れがあります。ご自身のサイトが影響を受けるか、すぐに確認し対策を検討してください。

Events Manager

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-18366

認証されていないユーザーが、サイトの管理者のパスワードを変更したり、権限を乗っ取ったり、特定のアカウントを削除したりする可能性があります。

→ CVE-2026-18366 の詳しい解説と今すぐやることはこちら

WooCommerce Subscriptions

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-18391

サイト訪問者が悪意のあるコードを送り込み、サーバー上で任意のプログラムを実行される危険性があります。

→ CVE-2026-18391 の詳しい解説と今すぐやることはこちら

Gift Cards For WooCommerce Pro

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-15039

認証されていないユーザーがサイトに悪意のあるファイルをアップロードし、サーバー上でプログラムを自由に実行される可能性があります。

→ CVE-2026-15039 の詳しい解説と今すぐやることはこちら

WPMU DEV Dashboard

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-16051

攻撃者が管理インターフェースを悪用し、サイト上で勝手にプログラムを実行する可能性があります。

→ CVE-2026-16051 の詳しい解説と今すぐやることはこちら

Product Input Fields for WooCommerce

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-19089

認証されていないユーザーが悪意のあるファイルをアップロードし、サーバー上で任意のコードを実行される危険性があります。

→ CVE-2026-19089 の詳しい解説と今すぐやることはこちら

Tablesome Table

深刻度: 9.3 / 10 (緊急)
CVE: CVE-2026-66659

攻撃者によってデータベース内の情報を不正に読み取られたり、改ざんされたりする可能性があります。

→ CVE-2026-66659 の詳しい解説と今すぐやることはこちら

TeraWallet - Wallet for WooCommerce

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2026-16538

顧客がウォレットの残高を実際よりも少ない金額でチャージできてしまい、システム上の残高を不正に増やすことができる可能性があります。

→ CVE-2026-16538 の詳しい解説と今すぐやることはこちら

KiviCare

深刻度: 8.8 / 10 (重要)
CVE: CVE-2026-13613

ログインしている悪意のあるユーザーによって、サイトのデータベース情報が不正に操作される可能性があります。

→ CVE-2026-13613 の詳しい解説と今すぐやることはこちら

WP Directory Kit

深刻度: 8.6 / 10 (重要)
CVE: CVE-2026-18474

認証されていないユーザーでも、特定の検索設定を利用してデータベース内の情報を不正に読み取られたり、改ざんされたりする可能性があります。

→ CVE-2026-18474 の詳しい解説と今すぐやることはこちら

Eventin

深刻度: 8.2 / 10 (重要)
CVE: CVE-2026-13171

認証されていないユーザーがサイト上で勝手にユーザーアカウントを作成したり、注文記録を不正に挿入したりする可能性があります。

→ CVE-2026-13171 の詳しい解説と今すぐやることはこちら

深刻度: 8.1 / 10 (重要)
CVE: CVE-2026-18961

攻撃者が特定のソーシャルログイン機能（Spotify OAuth）を悪用し、管理者を含む既存のWordPressユーザーとしてログインできる可能性があります。

→ CVE-2026-18961 の詳しい解説と今すぐやることはこちら

Form Maker by 10Web

深刻度: 8.1 / 10 (重要)
CVE: CVE-2026-16977

購読者レベルのユーザーが悪意のある入力により、サイトのデータベースに不正な操作を行う可能性があります。

→ CVE-2026-16977 の詳しい解説と今すぐやることはこちら

Events Manager

深刻度: 8.1 / 10 (重要)
CVE: CVE-2026-18057

ログインしているユーザーによって、予約同意記録が不正に操作される可能性があります。

→ CVE-2026-18057 の詳しい解説と今すぐやることはこちら

WP Directory Kit

深刻度: 8.1 / 10 (重要)
CVE: CVE-2026-18230

ログインしている購読者レベルのユーザーが、サイトのデータベース情報を不正に操作する可能性があります。

→ CVE-2026-18230 の詳しい解説と今すぐやることはこちら

WP Photo Album Plus

深刻度: 7.5 / 10 (重要)
CVE: CVE-2026-18048

認証されていないユーザーが、サーバー上の任意のZIPファイルを削除する可能性があります。

→ CVE-2026-18048 の詳しい解説と今すぐやることはこちら

日頃の備え

ご自身のサイトを守るためには、WordPress本体、テーマ、プラグインを常に最新の状態に保つことが最も重要です。また、不要なプラグインは削除し、定期的なサイトのバックアップを習慣にしましょう。信頼できないソースからのプラグインやテーマの導入は避け、セキュリティスキャンサービスなどを利用してサイトの安全性を定期的に確認することも有効です。これらの基本的な対策を講じることで、多くの脆弱性からサイトを守ることができます。