miniOrangeは7.8.1へ CVE-2026-12761、版数の見方に注意

多くのWordPressサイトで使われている、GoogleやLINEなど外部アカウントでのログインを実現する「miniOrange（ミニオレンジ）」社のログイン連携プラグイン2種に、ログインしていない第三者が、サイトの管理者アカウントを乗っ取れる深刻な欠陥が見つかりました。識別番号はCVE-2026-12761とCVE-2026-57807で、危険度はどちらも10点満点中9.8と最上位クラスです。

どちらも、本人確認の仕組みに抜けがあり、攻撃者が正規の利用者や管理者になりすませてしまう「認証バイパス（ログイン認証のすり抜け）」の欠陥です。悪用にログインは不要で、管理者権限を奪われればサイトを丸ごと乗っ取られます。対象は、miniOrangeの「Social Login and Register」が7.7.0以前、「OAuth Single Sign On - SSO」が38.5.8以前で、開発元が修正版を公開済みです。いずれかを使っているサイトは、今すぐ最新版へ更新してください。

miniOrangeのログイン連携プラグインとは何か

miniOrangeは、WordPress向けにログイン・認証まわりの拡張機能（プラグイン）を数多く提供している会社です。プラグインとは、WordPressに後から機能を足す部品のことです。今回問題になった2つは、いずれも「サイト独自のIDとパスワードを作らせる代わりに、GoogleやDiscord、LinkedInなど、利用者がすでに持っている外部アカウントでログインできるようにする」ための拡張機能です。

「Social Login and Register」はGoogleやTwitter、Discordなどでのソーシャルログインを、「OAuth Single Sign On - SSO」は社内システムや外部の認証サービスと連携したシングルサインオン（一度のログインで複数サービスを使える仕組み）を実現します。どちらも「本人であること」を確かめてログインさせるのが役目のため、そこに穴があると、なりすましがそのまま不正ログインにつながります。ログインの土台を突く欠陥は、ManageEngineのID管理製品での乗っ取りや、ログイン基盤Casdoorの認証回避のように、繰り返し狙われています。

何が危険なのか、どこまで被害が広がるのか

2件はどちらも、専門用語では「認証バイパス（Improper Authentication）」と呼ばれる不備です。本来ログインでは、確認コードやメール認証、外部サービスからの応答などを厳密に検証し、「確かに本人だ」と確かめてから通すべきです。ところが今回の2つは、この確認の詰めが甘く、攻撃者が正規の手順を踏まずに、別の利用者や管理者としてログインできてしまいます。米国立標準技術研究所（NIST）はこれを、不適切な認証（CWE-287）や、別経路を悪用した認証バイパス（CWE-288）として整理しています。

とくに深刻なのは、管理者アカウントを奪われる点です。WordPressの管理者は、記事やページの編集だけでなく、プラグインの追加やコードの実行、他の利用者の管理まで、サイトのほぼ全権を握ります。奪われれば、ページの改ざん、会員情報の持ち出し、悪意あるプログラムの設置、サーバーを踏み台にした別攻撃まで、事実上何でもできるようになります。悪用にログインは不要で、公開されたログイン機能に細工した通信を送るだけです。危険度9.8という数字は、この「特別な権限も利用者の操作もなく管理者を奪える」点を反映しています。

ログイン連携プラグインは、多くのサイトで会員登録やマイページの入口として使われています。だからこそ、そこが破られると影響が広く、しかも攻撃者は脆弱なサイトを自動で探し回って無差別に狙えます。ソーシャルログインは便利な一方、外部との認証のやり取りが複雑なぶん、検証の甘さが致命傷になりやすいという難しさがあります。

誰がこの穴を狙い、何が起きるのか

この脆弱性を突くと想定されるのは、サイトを改ざんして偽ページやスパムの踏み台にする攻撃者や、管理者権限を奪ってマルウェアを仕込み、会員の個人情報を盗み出す攻撃者です。ログインすら不要で仕掛けられるため、彼らは脆弱なminiOrange製プラグインを自動で探し回り、見つけ次第まとめて攻撃します。制作を外注したまま更新が止まっているサイトほど、格好の的になります。

攻撃の流れはこうです。攻撃者は確認コードやメール認証、パスワード回復といった本人確認の甘い部分を突いて、正規の手順を踏まずに管理者としてログインし、サイトの支配権を奪います。技術的な詳細は後述しますが、必要なのはわずかな通信だけで、被害者側のクリックや操作は一切要りません。

結果として、サイトを運営する個人や事業者は、管理画面を乗っ取られ、公開ページを改ざんされたり、会員として登録された個人情報を丸ごと抜かれたりします。乗っ取られたサイトは、知らないうちにフィッシングやマルウェア配布の拠点にされ、閲覧者にも被害が及びかねません。会員登録を伴うサイトほど、抱える個人情報の量も多く、被害が深刻になります。同じくWordPressの会員機能を突かれたUsersWPの乗っ取りの脆弱性とも共通する構図です。

技術的に見ると何が起きているのか

相次いで報告された2件には、それぞれ識別番号が割り当てられています。

CVE-2026-12761：Social Login and Register、確認コードとメール認証の甘さで管理者乗っ取り（危険度9.8）

「Social Login and Register（Discord, Google, Twitter, LinkedIn）」では、ログイン時の本人確認に使うワンタイムコード（OTP、使い捨ての確認番号）の検証と、メールアドレスの確認の処理が甘く、攻撃者がこれを突いて別人の、しかも管理者のアカウントで正規ログインを成立させられます。ログインは不要（権限要件なし）で、利用者の操作も要りません。米国立標準技術研究所（NIST）はこれを、不適切な認証（CWE-287）として整理しています。対象はバージョン7.7.0以前で、この欠陥自体は7.8.0で塞がれました。ただし7.8.0以前を対象とする別の脆弱性があとから公開されているため、更新先は7.8.1です。

CVE-2026-57807：OAuth SSO、別経路のパスワード回復を悪用した認証バイパス（危険度9.8）

「OAuth Single Sign On - SSO（OAuthクライアント）」では、本来のログイン手順とは別の経路（パスワード回復の仕組み）を悪用することで、認証を丸ごとすり抜けられます。攻撃者は正規のログインをせずに、別の利用者や管理者になりすましてサイトへ入り込めます。ログインは不要です。NISTはこれを、別経路を悪用した認証バイパス（CWE-288）として整理しています。対象はバージョン38.5.8以前で、開発元が38.5.8.1で修正しています。この番号は有償版の採番のため、管理画面の表示とそのまま比べられません（次章で詳述します）。認証まわりの「本筋以外の抜け道」が狙われる点は、ログイン基盤authentikの脆弱性とも通じます。

「38.5.8以前」と管理画面の数字は直接比べられない

今回いちばん誤読しやすいのが、CVE-2026-57807の「38.5.8以前が対象、38.5.8.1で修正」という番号です。この数字はminiOrangeの有償版の採番で、wordpress.orgで配られている無償版とは番号の付け方がまったく別です。同じ「OAuth Single Sign On - SSO」という名前なのに、番号だけが二系統あります。

実際、勧告が指す有償版の識別子（miniorange-oauth-oidc-single-sign-on）はwordpress.orgに存在せず、そのアドレスを開いても検索ページへ転送されるだけです。一方、wordpress.orgにある無償版（識別子はminiorange-login-with-eve-online-google-facebook）の現在の版は7.0.0（2026年7月23日更新）で、38.xという番号は過去の履歴をさかのぼっても一度も使われていません。

つまり、管理画面に「7.0.0」と出ているのを見て「38.5.8より小さいから自分は対象だ」と読むのは誤りです。逆に「番号が大きいから安全」も成り立ちません。採番体系が違う以上、大小を比べること自体に意味がないためです。判断の基準はひとつだけで、いま使っている版が、その入手先での最新版になっているかを見てください。

見分け方は簡単です。WordPressの管理画面で「プラグイン」を開き、この製品に「更新」の案内が出るかどうかを見てください。案内が出る、つまりwordpress.orgから更新できるものが無償版です。有償版はwordpress.orgを経由しないため、miniOrangeのアカウントから最新版を入手する形になります。どちらの場合も、やることは「自分の入手先での最新版に上げる」で共通です。

影響を受けるバージョンと対策

それぞれの対象バージョンと、いま上げるべき版は次の通りです。無認証で管理者を奪えるため、該当する場合は最優先で更新してください。

すぐに更新できない事情がある場合の一時しのぎとして、該当プラグインを一時的に無効にする、外部アカウントでのログインを一時停止するといった手当てで悪用の入口を狭められます。ただしこれらは時間稼ぎであり、根本的には最新版への更新が必要です。あわせて、身に覚えのない管理者アカウントが増えていないかの点検もしておくと安心です。

確認できていること、まだ分からないこと

今すぐできる対策

対策の軸ははっきりしています。Social Login and Registerは7.8.1へ、OAuth Single Sign On - SSOは使っている版の最新へ更新することが最優先です。WordPressの管理画面から更新を確認し、適用してください。無認証で管理者を奪えるタイプのため、放置した分だけ危険にさらされる時間が延びます。OAuth SSOのほうは、勧告に出てくる「38.5.8」と管理画面の数字を見比べても判断できません。数字の大小ではなく、更新の案内が出ていないかで見てください。

更新の前後では、すでに乗っ取られていないかの点検もしておくと安心です。身に覚えのない管理者アカウントが追加されていないか、プラグインやテーマに見覚えのないコードが仕込まれていないか、公開ページが改ざんされていないかを確認してください。心配な場合は、バックアップからの復元やセキュリティ専門業者への相談も検討してください。使っていないプラグインは削除し、有効なものだけを最新に保つのが、WordPressを守る基本です。ログイン系プラグインの欠陥は、フォーム作成プラグインSuper Formsの脆弱性のように、外部入力を受け取る部品ほど繰り返し狙われます。

よくある質問

まとめ

今回の件は、多くのWordPressサイトで使われているminiOrangeのログイン連携プラグイン2種が、本人確認の詰めの甘さから、ログインなしの第三者に管理者アカウントを乗っ取られ得るという話です。CVE-2026-12761・CVE-2026-57807はどちらも無認証・利用者操作なしで悪用でき、危険度は最上位クラスの9.8。ログインの土台を突かれるため、突破されれば会員情報の流出やサイト改ざんなど被害が広がります。

救いは、開発元がすでに修正版を公開していることです。Social Login and Registerは7.8.1へ、OAuth Single Sign On - SSOは使っている版の最新へ更新するだけで防げます。後者は勧告の「38.5.8以前」が有償版の採番のため、管理画面の数字と直接比べないでください。ログインや認証を担うプラグインは、破られたときの被害が特に大きいという前提で、こまめな更新と、不審な管理者アカウントの点検を習慣にしておきたいところです。新たな悪用の動きがあれば、あらためてお伝えします。

参照元

• ▸ NVD - CVE-2026-12761（Social Login and Register）
• ▸ NVD - CVE-2026-57807（OAuth Single Sign On - SSO）
• ▸ Patchstack - miniOrange Social Login の脆弱性情報
• ▸ wordpress.org - miniOrange Social Login and Register（最新版7.8.1）
• ▸ wordpress.org - OAuth Single Sign On - SSO 無償版（最新版7.0.0）