WordPressのUltimate Memberに管理者乗っ取り脆弱性、2.12.0以降で修正

トップ/記事一覧/WordPressのUltimate Memberに管理者乗っ取り脆弱性、2.12.0以降で修正

ニュース2026年6月24日公開最終更新 2026年7月24日

この記事のポイント

世界20万サイト以上が使う会員制サイト構築プラグイン『Ultimate Member』に、投稿者権限の利用者が管理者を乗っ取れる脆弱性が見つかりました。CVE-2026-7761、深刻度はCVSS8.8。バージョン2.11.4以前が対象で、最新の2.12.0への更新が必要です。パスワード再設定用リンクを盗まれ、サイトを丸ごと奪われる恐れがあります。

世界で20万サイト以上が使う会員制サイト構築プラグイン「Ultimate Member」には、投稿を書ける程度の権限しか持たない利用者が管理者アカウントを乗っ取れる脆弱性（プログラムの欠陥）があります。管理番号はCVE-2026-7761、深刻度は10点満点中8.8（重要）です。対象はバージョン2.11.4以前で、2.12.0以降で修正済み。現在の最新版は2.12.1（2026年7月6日公開）です。会員サイトを運営しているなら、Ultimate Memberを最新版まで上げておけば、この脆弱性への対応は不要です。

この穴を突かれると、投稿者権限しか持たない利用者が管理者のパスワード再設定用リンクを盗み取り、サイトを丸ごと奪えます。発見したのはWordPress向けセキュリティ企業Wordfenceで、修正版の2.12.0は2026年6月に公開されました。米政府CISAが公開する「実際に攻撃されている脆弱性リスト」への登録は2026年7月23日時点でなく、公開から約1ヶ月が経った段階でも、この脆弱性を悪用した実際の攻撃は確認されていません。ただし修正前のバージョンを使い続けるのは安全ではないため、古いものは最新版へ更新してください。

Ultimate Memberとは何のプラグインか

Ultimate Memberは、WordPressサイトに会員登録・ログイン・会員専用ページ・会員一覧といった機能を追加するプラグイン（追加部品）です。オンラインサロン、コミュニティサイト、有料会員サイト、社内ポータルなど、「会員だけが見られるサイト」を作るときに広く使われています。

公式の配布ページによると、現在20万以上のサイトで稼働しています。会員制という性質上、サイトには利用者の個人情報が集まりやすく、乗っ取られたときの影響が大きいプラグインのひとつです。

なお、このプラグインは過去にも実際の攻撃を受けた歴史があります。2023年には別の脆弱性を突いた大規模な攻撃キャンペーンが確認され、多数のサイトに不正な管理者アカウントが作られました。攻撃者にとって「狙う価値のあるプラグイン」として認知されている点は、今回の脆弱性を軽く見てはいけない理由になります。

誰が狙い、何をされ、どうなるのか

この脆弱性で危ないのは、誰でも外部から一発で攻撃できるタイプではない、という点をまず押さえておく必要があります。攻撃には「投稿者（Contributor）」以上の権限を持つアカウントが必要です。

そのうえで狙うのは、会員登録や寄稿受付で外部の人にアカウントを配っている会員制サイトに紛れ込んだ、投稿者権限の利用者です。誰でも記事を投稿できるメディア、ライター登録制のサイト、ゲスト寄稿を受け付けるコミュニティなどでは、攻撃者がごく普通の投稿者として登録するだけで前提条件を満たしてしまいます。

その投稿者がすることは、細工した下書き記事を作り、管理者がそれをプレビュー（確認）した瞬間に、管理者本人のパスワード再設定リンクを横取りすることです。管理者はただ下書きを開いて中身を確認しただけのつもりでも、その裏で自分のパスワードを変更できるリンクが攻撃者の手に渡ってしまいます。

リンクを手に入れた攻撃者は、管理者のパスワードを自分の好きなものに変えてログインできます。こうなると、会員の個人情報の抜き取り、サイトの改ざん、偽の管理者アカウントの追加、不正なファイルの設置まで、何でもできる状態になります。会員サイトを運営する企業・個人にとっては信用問題に直結し、登録した会員にとっては個人情報流出のリスクに直結します。

プラグインの脆弱性が実際に攻撃へ使われ始めると、米政府機関CISAの「実際に攻撃されている脆弱性リスト」に載ることがあります。日本語で確認できる一覧はCISA KEV ダッシュボード（日本語版）にまとめています。

脆弱性の中身

CVE-2026-7761は、実は単独の欠陥ではなく、3つの小さな論理の穴が連鎖して成立します。さらに、ほぼ同じ仕組みの脆弱性（CVE-2026-4248）がその少し前にも修正されており、CVE-2026-7761はその対策をすり抜ける新しい経路だった点が特徴です。順に見ていきます。

CVE-2026-7761：3つの穴の連鎖で管理者のリセットリンクを盗む（CVSS 8.8）

Ultimate Memberには、記事の本文中に「{usermeta:password_reset_link}」のような差し込みタグを書くと、その場を見ている利用者のパスワード再設定リンクに置き換えてくれる機能があります。本来は会員向けの便利機能ですが、これが悪用の起点になりました。

Wordfenceの分析によると、攻撃は次の3つの欠陥がつながって成立します。第一に、投稿の照合に古い方式（MD5ハッシュ）への切り替えが残っており、投稿のすり替えができてしまうこと。第二に、差し込みタグの種類を制限するチェックを、書き方を工夫することで回避できてしまうこと。第三に、項目の検証が甘く、「password_reset_link」という値を無理やり差し込めてしまうことです。

この3つを組み合わせると、投稿者権限の攻撃者が用意した下書きを管理者がプレビューした瞬間に、管理者向けのパスワード再設定リンクが生成され、攻撃者の用意した送信先に流れ出す仕組みになります。攻撃者はそのリンクを使って管理者のパスワードを変更し、完全な乗っ取りに至ります。

CVE-2026-4248：前段にあたる同型の脆弱性（CVSS 8.0）

同じ差し込みタグを狙った脆弱性が、CVE-2026-7761の少し前にCVE-2026-4248として公表されています。こちらはバージョン2.11.2以前が対象で、投稿者権限の利用者が「[um_loggedin]」というショートコード（簡易命令）と差し込みタグを組み合わせた下書きを作り、管理者がプレビューするとそのパスワード再設定リンクが盗まれる、というものです。

開発元はこれをバージョン2.11.3で、差し込み変換に拒否リスト（ブラックリスト）を入れて修正しました。ところがCVE-2026-7761は、別の経路からその拒否リストをすり抜けるものでした。つまり「同じ狙いに対する2度目の修正」がCVE-2026-7761というわけです。2.11.3や2.11.4へ更新しただけではCVE-2026-7761は塞がりきっていないため、2.12.0以降まで上げる必要があります。なお現在の最新版2.12.1では、この拒否リストを本体の外に切り出して保守しやすくする追加の守り（ハードニング）も入っており、CVE-2026-7761への緊急の追加対応ではありませんが、更新するなら最新版が安心です。

あわせて、修正版の2.12.0では会員プロフィールの自己紹介欄（user_description）に不正なスクリプトを保存できてしまう別の脆弱性（CVE-2026-8489）も、入力を無害化する処理を入れて塞がれています。この点でも、2.12.0以降へ上げておくことに意味があります。

自分のサイトが対象かどうかの早見表

CVE-2026-7761の影響を受けるのはバージョン2.11.4以前で、2.12.0以降で修正済みです（現在の最新版は2.12.1）。管理画面の「プラグイン」一覧でUltimate Memberのバージョンを確認してください。

使っているバージョン	CVE-2026-7761 (今回)	CVE-2026-4248 (前段)	やること
2.11.2 以前	影響あり	影響あり	最優先で最新版へ更新
2.11.3 〜 2.11.4	影響あり	修正済み	最新版へ更新
2.12.0 以降	修正済み	修正済み	対応不要（最新は2.12.1）

あわせて、外部の人に投稿者以上の権限を配っているサイトはとくに注意が必要です。攻撃の前提が「投稿者権限のアカウント」であるため、誰でも寄稿・登録できる運用ほどリスクが高くなります。

いま取るべき対策

最優先はUltimate Memberを最新版へ更新することです（2026年7月23日時点の最新版は2.12.1で、CVE-2026-7761は2.12.0以降で修正済み）。WordPressの管理画面から数クリックで更新できます。この欠陥はひとつ前の修正をすり抜ける2度目のものなので、「前に更新したから大丈夫」ではなく、必ず2.12.0以降になっているかを確認してください。

すぐに更新できない場合の緩和策として、次の点が有効です。会員登録や寄稿で外部の人に投稿者以上の権限を渡している場合は、当面そのプラグインを停止するか、新規の権限付与を絞ること。すでに不審な下書きや、身に覚えのない管理者アカウント、見慣れない投稿・転送設定がないかを点検すること。心当たりのないパスワード変更通知が届いていないか確認することです。判断がつかない場合は、信頼できるバックアップから復元したうえで専門家に相談するのが安全です。

WordPressプラグインの脆弱性は毎月のように大量に公表されています。6月にも数十件が一斉公開されており、その全体像は2026年6月のWordPressプラグイン脆弱性まとめで確認できます。使っていないプラグインは削除し、必要なものはこまめに更新する習慣が最大の防御になります。

まとめ

Ultimate MemberのCVE-2026-7761は、投稿者権限の利用者が管理者のパスワード再設定リンクを盗み、サイトを乗っ取れる脆弱性です。深刻度はCVSS 8.8。先行するCVE-2026-4248と同じ「差し込みタグ」を起点とし、その修正をすり抜ける新しい経路だった点が要注意です。

20万サイト以上で使われ、過去に大規模な攻撃も受けているプラグインだけに、放置のリスクは小さくありません。対象は2.11.4以前で、2.12.0以降で修正済み。現在の最新版は2.12.1です。米CISAの「実際に攻撃されている脆弱性リスト」への登録は2026年7月23日時点でなく、公開から約1ヶ月が経った段階でも広範な悪用は確認されていませんが、攻撃の仕組みは公開されています。会員サイトを運営しているなら、まずバージョンを確認し、2.12.0より古ければ最新版へ更新してください。