skip to content
WordPress脆弱性速報

【2026年08月17日】WordPress プラグイン脆弱性まとめ: ARForms、ProSolution WP Client など 14 件

/ 8 min read

View more blogs with the tag wordpress , View more blogs with the tag プラグイン , View more blogs with the tag 脆弱性 , View more blogs with the tag セキュリティ , View more blogs with the tag 速報
Table of Contents

本日のまとめ

この速報記事では、人気のWordPressプラグイン「Contact Form, Survey, Quiz & Popup Form Builder – ARForms」「ProSolution WP Client」「Frontend Admin by DynamiApps」をはじめとする合計14件の重大な脆弱性情報をお届けします。これらの脆弱性は、サイトの乗っ取りやデータ漏洩など深刻な被害につながる可能性があります。ご自身のサイトに影響がないか、すぐに確認してください。

Contact Form, Survey, Quiz & Popup Form Builder – ARForms

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2024-13784

認証されていない攻撃者がサイトに不正なコードを挿入し、他のプラグインの脆弱性と組み合わせることで、ファイルの削除や機密データの窃取、コード実行につながる可能性があります。

→ CVE-2024-13784 の詳しい解説と今すぐやることはこちら

ProSolution WP Client

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-16098

認証されていない攻撃者が任意のファイルをアップロードし、悪意のあるコードを実行してサイトを乗っ取ることが可能になります。

→ CVE-2026-16098 の詳しい解説と今すぐやることはこちら

Frontend Admin by DynamiApps

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-18432

認証されていない攻撃者が管理者権限を奪取し、サイトのパスワードやメールアドレスを書き換えることでサイトを乗っ取ることが可能になります。

→ CVE-2026-18432 の詳しい解説と今すぐやることはこちら

Solace Extra

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-18316

購読者レベルの権限を持つ認証済み攻撃者が、サイトのナビゲーションメニューやウィジェット、Elementorのテンプレートを削除したり、不正なデモコンテンツをインポートしたりする可能性があります。

→ CVE-2026-18316 の詳しい解説と今すぐやることはこちら

ProSolution WP Client

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-14524

認証されていない攻撃者がサーバー上の任意のファイルを削除し、wp-config.phpのような重要なファイルを削除することでサイトを動作不能にしたり、コード実行につながる可能性があります。

→ CVE-2026-14524 の詳しい解説と今すぐやることはこちら

Royal Addons for Elementor – Addons and Templates Kit for Elementor

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-17123

寄稿者以上の権限を持つ認証済み攻撃者が、サイトから外部の任意のウェブサイトにリクエストを送信し、内部サービスの情報にアクセスしたり変更したりする可能性があります。

→ CVE-2026-17123 の詳しい解説と今すぐやることはこちら

Podlove Podcast Publisher

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-16099

寄稿者以上の権限を持つ認証済み攻撃者が、サーバー上の任意のファイルを削除し、wp-config.phpのような重要なファイルを削除することでサイトを動作不能にしたり、コード実行につながる可能性があります。

→ CVE-2026-16099 の詳しい解説と今すぐやることはこちら

Query Wrangler

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-14498

購読者以上の権限を持つ認証済み攻撃者が、サイト上で悪意のあるコードを実行し、サーバーを完全に制御する可能性があります。

→ CVE-2026-14498 の詳しい解説と今すぐやることはこちら

WP Travel Engine – Tour Booking Plugin – Tour Operator Software

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-17087

認証されていない攻撃者が、旅行予約の請求詳細（顧客の氏名、メールアドレス、住所、電話番号など）といった機密情報を閲覧できる可能性があります。

→ CVE-2026-17087 の詳しい解説と今すぐやることはこちら

Online Scheduling and Appointment Booking System – Bookly

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-13424

認証されていない攻撃者が、管理者が閲覧するログページに悪意のあるスクリプトを埋め込み、管理者のブラウザ上で不正な操作を実行する可能性があります。

→ CVE-2026-13424 の詳しい解説と今すぐやることはこちら

Gallery by BestWebSoft – Customizable Image and Photo Galleries for WordPress

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-2497

編集者以上の権限を持つ認証済み攻撃者が、データベースから機密情報を窃取したり、データベースの内容を改ざんしたりする可能性があります。

→ CVE-2026-2497 の詳しい解説と今すぐやることはこちら

Infility Global

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-10734

認証されていない攻撃者が、ログ閲覧ページに悪意のあるスクリプトを埋め込み、ログイン中のユーザー（購読者含む）がそのページを訪れた際に不正な操作を実行する可能性があります。

→ CVE-2026-10734 の詳しい解説と今すぐやることはこちら

WCPOS – Point of Sale (POS) plugin for WooCommerce

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-17581

ショップマネージャー以上の権限を持つ認証済み攻撃者が、悪意のあるPHPコードを挿入し、サーバー上でコードを実行することでサイトを乗っ取る可能性があります。

→ CVE-2026-17581 の詳しい解説と今すぐやることはこちら

Autopay

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-15002

認証されていない攻撃者が、WooCommerceのチェックアウトページに悪意のあるスクリプトを埋め込み、そのページを訪れたユーザーのブラウザ上で不正な操作を実行する可能性があります。

→ CVE-2026-15002 の詳しい解説と今すぐやることはこちら

日頃の備え

これらの脆弱性からサイトを守るためには、WordPress本体、プラグイン、テーマを常に最新の状態に保つことが非常に重要です。特に、自動更新機能を活用したり、定期的なバックアップを取ったりして、万が一の事態に備えましょう。また、現在使っていないプラグインやテーマは削除することで、攻撃されるリスクを減らすことができます。

出典