skip to content
WordPress脆弱性速報

【2026年08月27日】WordPress プラグイン脆弱性まとめ: TranslatePress、Avada、ERP など 14 件

/ 8 min read

View more blogs with the tag wordpress , View more blogs with the tag プラグイン , View more blogs with the tag 脆弱性 , View more blogs with the tag セキュリティ , View more blogs with the tag サイト運営
Table of Contents

本日のまとめ

2026年08月27日、WordPressの主要なプラグインやテーマにおいて、合計14件の高い危険度の脆弱性が公開されました。これには「TranslatePress – Multilingual」や「ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce」「Avada」などが含まれます。 これらの脆弱性は、サイトの管理者権限の乗っ取りや、悪意のあるコードの実行、機密情報の漏洩につながる可能性があります。ご自身のサイトが影響を受けていないか、速やかに確認し、適切な対策を講じることが重要です。

TranslatePress – Multilingual

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-19632

サイト管理者のパスワードリセットURLが漏洩する可能性があり、第三者が管理者アカウントを乗っ取れる危険性があります。

→ CVE-2026-19632 の詳しい解説と今すぐやることはこちら

ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-18080

認証されていない攻撃者が任意のファイルをアップロードし、リモートで悪意のあるコードを実行できる可能性があります。

→ CVE-2026-18080 の詳しい解説と今すぐやることはこちら

Avada / Fusion Builder

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-18431

認証されていない攻撃者がサーバー上に任意のファイルを書き込み、リモートでコードを実行してサイトを完全に乗っ取れる危険性があります。

→ CVE-2026-18431 の詳しい解説と今すぐやることはこちら

Mang Board WP

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-75977

サイトの購読者以上の権限を持つユーザーが管理者認証クッキーを偽造し、管理者パスワードを変更してサイトを乗っ取れる可能性があります。

→ CVE-2026-75977 の詳しい解説と今すぐやることはこちら

Order Tip for WooCommerce

  • 深刻度: 8.7 / 10 (重要)
  • CVE: CVE-2026-77693

ショップマネージャー権限以上のユーザーがサーバー上の任意のファイルを削除できるため、サイトが乗っ取られる危険性があります。

→ CVE-2026-77693 の詳しい解説と今すぐやることはこちら

BlogVault, MalCare and WP Remote

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-19718

認証されていない攻撃者が管理サービスへの接続キーを特定し、サイトへの管理者アクセス権を取得できる可能性があります。

→ CVE-2026-19718 の詳しい解説と今すぐやることはこちら

Classified Listing - Mobile Number Verification

  • 深刻度: 8.1 / 10 (重要)
  • CVE: CVE-2026-15985

認証されていない攻撃者が任意のOTPコードとユーザーIDを送信することで、電話番号が登録されているユーザーとしてログインできる可能性があります。

→ CVE-2026-15985 の詳しい解説と今すぐやることはこちら

AI Engine

  • 深刻度: 7.7 / 10 (重要)
  • CVE: CVE-2026-75797

購読者レベルのユーザーがサーバー上の任意のファイルを読み取り、外部に情報を漏洩させられる可能性があります。

→ CVE-2026-75797 の詳しい解説と今すぐやることはこちら

WooCommerce Lottery

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-18884

認証されていない攻撃者がデータベースに不正なSQLクエリを挿入し、機密情報を抜き取れる可能性があります。

→ CVE-2026-18884 の詳しい解説と今すぐやることはこちら

WP Project Manager

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-74928

認証されていないユーザーがサイトの登録設定を回避してWordPressアカウントを作成できる可能性があります。

→ CVE-2026-74928 の詳しい解説と今すぐやることはこちら

Formidable Charts

  • 深刻度: 7.5 / 10 (重要)
  • CVE: CVE-2026-15990

認証されていない攻撃者がサーバー上の任意のファイルの内容を読み取り、機密情報を取得できる可能性があります。

→ CVE-2026-15990 の詳しい解説と今すぐやることはこちら

WP Fastest Cache

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-19760

認証されていない攻撃者が悪意のあるスクリプトを注入し、サイト訪問者がそのページにアクセスした際にスクリプトが実行される可能性があります。

→ CVE-2026-19760 の詳しい解説と今すぐやることはこちら

Pods

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-74851

投稿者以上の権限を持つユーザーがサーバー上で任意のコードを実行できる可能性があります。

→ CVE-2026-74851 の詳しい解説と今すぐやることはこちら

Formidable Forms

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-18331

認証されていない攻撃者が悪意のあるスクリプトを注入し、管理者ユーザーがページにアクセスした際にスクリプトが実行される可能性があります。

→ CVE-2026-18331 の詳しい解説と今すぐやることはこちら

日頃の備え

サイトを安全に保つために、普段から以下の対策を心がけましょう。プラグインやテーマは常に最新バージョンに更新し、特にセキュリティ修正が含まれる場合は速やかに適用してください。自動更新を設定することも有効です。また、定期的にサイトのバックアップを取り、万が一の事態に備えましょう。利用していないプラグインやテーマは削除することで、攻撃対象を減らすことができます。信頼できるソースからのみプラグインやテーマを導入し、不審なファイルや警告には注意を払ってください。

出典