skip to content
WordPress脆弱性速報
Table of Contents

本日のまとめ

WordPressサイトを運営中の皆さんへ。今回、Pods、TrueBooker、User Profile Builder といった主要プラグインを含む合計15件の脆弱性情報が公開されました。これらの脆弱性は、サイトへの不正アクセスや情報漏洩につながる危険性が高いものです。あなたのサイトに影響があるか、1分で確認しましょう。

Pods – Custom Content Types and Fields

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-19598

認証されていない攻撃者が管理者の権限を不正に取得し、サイトを完全に制御する可能性があります。他のユーザーアカウントのパスワードが変更される危険もあります。

→ CVE-2026-19598 の詳しい解説と今すぐやることはこちら

TrueBooker – Appointment Booking and Scheduler System

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-16142

認証されていない攻撃者が管理者のものを含む任意のユーザーアカウントのメールアドレスを変更し、そのアカウントを乗っ取る可能性があります。

→ CVE-2026-16142 の詳しい解説と今すぐやることはこちら

User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-15826

認証されていない攻撃者が認証を回避して、サイトの管理者アカウントにログインし、サイトを完全に制御する可能性があります。

→ CVE-2026-15826 の詳しい解説と今すぐやることはこちら

User Session Synchronizer

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-15341

認証されていない攻撃者が認証を回避し、管理者を含む任意のWordPressユーザーとしてログインする可能性があります。サイトの秘密情報なしでアカウントが乗っ取られる危険があります。

→ CVE-2026-15341 の詳しい解説と今すぐやることはこちら

6Storage Rentals

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-15303

認証されていない攻撃者が任意のWordPressユーザー（管理者を含む）としてログインできる認証回避の脆弱性があります。ユーザーのメールアドレスを知っているだけで乗っ取りが可能です。

→ CVE-2026-15303 の詳しい解説と今すぐやることはこちら

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-18855

認証されていない攻撃者がサーバー上の任意のファイルを削除できる可能性があります。wp-config.phpのような重要なファイルが削除されると、サイトが乗っ取られる危険があります。

→ CVE-2026-18855 の詳しい解説と今すぐやることはこちら

RapiSafe – Secure Multi File Upload for Contact Form 7

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-14484

認証されていない攻撃者がサーバー上の任意のファイルを削除できる可能性があります。サイトの重要な設定ファイルなどが削除されると、リモートでコードを実行される危険があります。

→ CVE-2026-14484 の詳しい解説と今すぐやることはこちら

Templately – Elementor & Gutenberg Template Library: 6500+ Free & Pro Ready Templates And Cloud!

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-18438

寄稿者以上の権限を持つ認証された攻撃者が、不正なファイルをアップロードしてサーバー上で任意のコードを実行する可能性があります。これにより、サイトが乗っ取られる危険があります。

→ CVE-2026-18438 の詳しい解説と今すぐやることはこちら

Wholesale Market

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-14279

登録者（Subscriber）以上の権限を持つ認証された攻撃者が、管理者権限に昇格できる可能性があります。サイト管理者が特定のオプションを有効にしている場合に影響を受けます。

→ CVE-2026-14279 の詳しい解説と今すぐやることはこちら

bLoyal: Loyalty & Promotions by bLoyal

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-15001

登録者（Subscriber）以上の権限を持つ認証された攻撃者が、管理者を含む任意のWordPressユーザーとして認証できる権限昇格の脆弱性です。

→ CVE-2026-15001 の詳しい解説と今すぐやることはこちら

MaxUpload – Big File Uploads – Increase Maximum File Upload Size

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-15965

認証されていない攻撃者が、実行可能な不正なファイルをサーバーにアップロードできる脆弱性です。これにより、リモートで任意のコードを実行される危険があります。

→ CVE-2026-15965 の詳しい解説と今すぐやることはこちら

Propovoice: All-in-One Client Management System

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-15312

ndpv_manager 以上の権限を持つ認証された攻撃者が、管理者権限を持つ新しいユーザーアカウントを作成し、サイトを完全に制御する可能性があります。

→ CVE-2026-15312 の詳しい解説と今すぐやることはこちら

Real Estate Manager Pro

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-15142

登録者（Subscriber）以上の権限を持つ認証された攻撃者が、管理者アカウントを編集し、自身の権限を管理者に昇格できる可能性があります。特定の条件下で発生します。

→ CVE-2026-15142 の詳しい解説と今すぐやることはこちら

Object Sync for Salesforce

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-15162

認証されていない攻撃者が、データベースから機密情報（パスワードハッシュなど）を不正に抽出できるSQLインジェクションの脆弱性です。

→ CVE-2026-15162 の詳しい解説と今すぐやることはこちら

Invisible Anti-Spam & CAPTCHA — reCAPTCHA Alternative for All Forms

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-16145

認証されていない攻撃者が不正なスクリプトをサイトに保存し、そのページにアクセスしたユーザーのブラウザで実行させるクロスサイトスクリプティング（XSS）の脆弱性です。

→ CVE-2026-16145 の詳しい解説と今すぐやることはこちら

日頃の備え

ご自身のサイトを守るためには、常に最新の状態に保つことが非常に重要です。プラグインやテーマは定期的に更新し、自動更新機能も活用しましょう。万が一に備え、サイトの定期的なバックアップも欠かせません。また、使用していないプラグインやテーマは削除することで、攻撃されるリスクを減らせます。

出典