WordPressプラグイン13件に脆弱性、ログイン不要で乗っ取り CVE-2026-15014

2026年7月28日、WordPressの拡張機能（プラグイン）13件の脆弱性が一日で公表されました。このうち8件は、ログインしていない攻撃者でも悪用できます。最も危険なのは、ネットショップに携帯電話番号での本人確認を追加する「SMS Alert」の欠陥で、攻撃者が自分の電話番号で認証を通したあと、他人の番号に差し替えるだけで、そのお店の誰にでもなりすましてログインできてしまうというものです。管理者のアカウントも例外ではありません。

対象は、本人確認のSMS Alert、予約受付のTrueBooker、表作成のTablesome、サイト内検索のWP Fast Total Search、デモ読み込み・バックアップのDemi、チャットのBetter Messages、問い合わせ内容を保存するDatabase for Contact Form 7、通販のFluentCart、チケット販売のEvent Tickets and Registration、アンケート作成のQuiz and Survey Master、デジタル商品販売のPremium Packages、予約管理のBooklyの12種類（TrueBookerは2件が同時に公表されたため、脆弱性の数は13件）。導入数は合計で30万サイトを超えます。

先に結論を書くと、13件すべてに修正版がすでに出ています。ただし1件だけ、公表された「影響を受けるバージョン」の記載を信じると危ないものが混じっています（6万サイトが使うBooklyです。後述します）。まだ攻撃に使われたという報告はなく、危険度もばらつきがあります。ただし、自動更新を切っているサイトは取り残されたままです。ここでは「自分のサイトは対象か」「どれから直せばいいのか」を、危険度ではなくログインが要るか要らないかの順に並べて整理します。WordPressの拡張機能の脆弱性は毎週のように出ており、直近でも7月23日に4件、7月16日に管理者乗っ取りの3件が公表されたばかりです。

13件で何が起きたのか

今回の13件は、危険度の高い順に並べるより、攻撃者にログインが必要かどうかで分けたほうが対処の順番を決めやすくなります。ログインが要らないものは、インターネットにつながっているだけで外から直接狙われます。一方、管理者や編集者の権限が前提のものは、そもそも身内か、すでに何らかの形で権限を奪われた後でないと成立しません。

ログイン不要は8件です。SMS Alertは他人のアカウントにそのままログインされ、TrueBookerは他人のパスワードを書き換えられ、Tablesomeは記事やページを勝手に作り替えられ、Demiはサーバー上のフォルダを丸ごと消されます。残る4件——WP Fast Total Search・Premium Packages・Bookly、そしてTrueBookerのもう1件——は、いずれもデータベースへの命令文を外から差し込まれ、中身を抜き出されるタイプです。残る5件は、管理者・編集者・会員といった何らかのアカウントを持っている相手が悪さをするタイプで、被害の届く範囲は限られます。

13件はいずれもWordPress本体ではなく拡張機能側の問題です。つまり、これらを入れていないサイトには影響がありません。まずは管理画面の「プラグイン」一覧を開き、該当する名前があるか、あるならバージョンはいくつかを確かめるところから始めてください。なおWordPress本体側にも7月に別の重大な脆弱性が出ており、そちらはWordPress本体の脆弱性まとめで扱っています。

対象プラグインと対処の早見表

自分のサイトが対象かを一目で判断できるよう、13件を並べました。上から順に、ログイン不要のものを先に置いています。「影響を受ける版」に当てはまるなら、右の「安全な版」以上へ更新してください。導入数はWordPress.orgが公開している概数です。

危険度の数値は、脆弱性の深刻さを10点満点で表す共通のものさしCVSSによるものです。9.0以上が最上位の「緊急」、7.0以上が「重要」に区分され、今回はSMS AlertとTrueBookerの2件が緊急、続く8件が重要にあたります。残る3件は中〜低で、ただちに慌てる数字ではありません。

「ログイン」の列は、攻撃者に必要な権限です。「不要」は誰でも外から狙えるという意味で、ここが実質的な優先順位になります。逆に「管理者」と書かれたものは、すでに管理者を名乗れる相手にしか使えないため、危険度の数字ほど急ぎではありません。

誰が、何のために狙うのか

この手の欠陥に最初に手を出すのは、特定の誰かを恨んでいる相手ではありません。世界中のサイトを機械的に巡回して、公表されたばかりの弱い拡張機能が入っている場所を片っ端から探す業者です。脆弱性の中身が公開された時点で、その内容をそのまま自動巡回の条件に組み込めるため、公表から数日で「入っているサイトの一覧」が出来上がります。彼らにとって、対象が600サイトか9万サイトかはあまり関係がありません。

見つけた後にやることは、管理者になりすまして、そのサイトを別の商売の道具に作り替えることです。今回でいえば、SMS Alertなら本人確認を素通りして狙った会員としてログインし、TrueBookerなら管理者のパスワードを自分の知っているものに差し替えて正面から入り、Tablesomeなら既存のページの中身を上書きして、検索から来た訪問者を別のサイトへ飛ばす仕掛けを埋め込みます。乗っ取ったサイトはそのまま売られたり、詐欺サイトへの誘導路として貸し出されたりします。

困るのは、これがサイトの持ち主だけの損では終わらない点です。訪問者は偽のログイン画面や決済画面を本物だと思って情報を入力しますし、通販を動かしていれば会員の住所や購入履歴がそのまま流れます。Demiのように「フォルダごと消せる」タイプに至っては、金銭目的ですらなく、バックアップごとサイトが消えて戻せなくなります。パスワード再設定の仕組みを突かれる形は、5月に50万サイトが対象となったKirkiの管理者乗っ取りと同じ系統で、あのときは公表後に実際の悪用が確認されています。

ログイン不要の8件を先に直す

外から直接狙われる8件です。このどれかを使っているなら、他の作業より先に更新してください。

CVE-2026-15014：本人確認「SMS Alert」で他人のアカウントにログインされる

SMS Alertは、WooCommerceで動かすネットショップに、携帯電話番号あてのショートメッセージ（SMS）を使った本人確認や注文通知を追加する拡張機能です。開発元はインドのCozy Vision Technologiesで、導入数は3,000以上あります。

今回の欠陥（CVE-2026-15014）の原因は、「本人確認が済んだ」という記録を、どの電話番号について済んだのかと結びつけずに、はい／いいえの一個のフラグだけで持っていたことです。会員登録の処理は、そのフラグが立っているかだけを見て、ログイン用のクッキーを発行していました。

結果、攻撃の手順はこうなります。まず攻撃者は自分の電話番号で確認コードを受け取り、正規の手続きで認証を通します。これでフラグが立ちます。その状態のまま、登録リクエストの電話番号の欄だけを狙った相手の番号に差し替えて送り直すと、システムはその番号に紐づくアカウントを探し出し、そちらのログイン用クッキーを発行してしまいます。電話番号さえ分かれば、管理者を含む誰にでもなりすませます。危険度はCVSS 9.8です。

影響を受けるのは3.9.7以下で、3.9.8で修正されました。この更新では、確認済みの電話番号そのものを保存して厳密に照合するよう直したうえで、フラグを機能ごとに別々の名前へ分ける改修も入っています。注意したいのは、この拡張機能は7月1日にも、ログイン不要でパスワードを勝手に再設定できる別の脆弱性（CVE-2026-11387、同じくCVSS 9.8）が公表されたばかりだという点です。1か月で2度、認証の入り口が同じように破られています。ネットショップで会員の個人情報や購入履歴を扱っているなら、更新後にログイン履歴と会員一覧の点検までやっておいたほうがよさそうです。

CVE-2026-14545：予約受付「TrueBooker」で他人のパスワードを書き換えられる

TrueBookerは、美容室や教室、士業などがサイト上で予約を受け付けるための拡張機能です。今回の欠陥（CVE-2026-14545）は、サイトの表側に置かれたアカウント操作の受け口が、「パスワードを変えようとしている人が、本当にそのアカウントの持ち主か」を確認していないというものです。

通常、パスワードの再設定は「登録アドレスに届いた一度きりのリンクを踏んだ人だけが変えられる」という作りで持ち主を確かめます。TrueBookerの該当処理はこの確認が抜けており、ログインしていない相手が、対象のアカウント名を指定して新しいパスワードを直接設定できてしまいます。管理者アカウントも例外ではありません。設定された側は、自分のパスワードで入れなくなって初めて異常に気づくことになります。なおこの件は、CVEの登録情報に危険度の数値が入っていません（報告元のWPScanは数値を公表しない方針のため）。本記事の表ではWPScanのサイト掲載値である9.8を採っていますが、検査ツールによっては数値が表示されない、あるいは独自の推定値が出ることがあります。

影響を受けるのは1.2.4より前で、1.2.4以降（現在の最新は1.2.6）へ更新すれば解消します。詳細はWPScanの報告にまとまっています。ただしTrueBookerの問題は、この1件では終わりません。この拡張機能は2026年に入ってから、これを含めて7件の脆弱性が公表されています。詳しくは後述の専用セクションにまとめました。導入数は600以上と多くはありませんが、権限まわりの作りに穴が出続けている拡張機能であることは、はっきり頭に入れておいたほうがよさそうです。

CVE-2026-14924：表作成「Tablesome」で記事やページを勝手に上書きされる

Tablesomeは、問い合わせフォームの送信内容を表として保存したり、記事に表を差し込んだりする拡張機能です。今回の欠陥（CVE-2026-14924）は、ブラウザが裏側でサーバーとやりとりする窓口（AJAXという仕組みの受け口）のひとつに、ログイン確認も、権限確認も、正規の操作かを見分ける合言葉（nonce）の確認も、どれも入っていなかったというものです。

その結果、ログインしていない相手が、新しい記事を公開状態で作れるうえに、すでに公開されている記事やページの中身を指定して上書きできます。会社概要や料金ページの中身を差し替えられれば、検索から来た人はそれを本物として読みます。管理者権限を奪われたわけではないので、サイト側の異変にも気づきにくいのが厄介なところです。危険度はCVSS 7.5です。

影響を受けるのは1.1.31より前で、1.1.31以降（現在の最新は1.2.9）なら安全です。この修正版自体はかなり前に配布されているため、自動更新を有効にしているサイトはすでに対処済みのはずです。危ないのは、更新を止めたまま古い版で動かし続けているサイトで、今回の公表によって「どこを叩けばいいか」が公開情報になった形になります。WPScanの報告もあわせて確認してください。

CVE-2026-12741：サイト内検索「WP Fast Total Search」でデータベースの中身を抜かれる

WP Fast Total Searchは、WordPress標準の検索を高速な全文検索に置き換える拡張機能です。導入数は1,000以上と小さめですが、記事数の多いサイトで重宝されています。今回の欠陥（CVE-2026-12741）は、検索キーワードを受け取るform_data[s]という項目の扱いが甘く、入力した文字がそのままデータベースへの命令文に混ざってしまうというものです。

この種の欠陥はSQLインジェクションと呼ばれます。データベースへの命令文を組み立てる際、利用者が入力した文字を「ただの文字」として扱う処理（プレースホルダ）を使わず、文字列をそのまま貼り合わせていると、検索窓に命令文の断片を打ち込むだけで、本来の命令に別の命令を継ぎ足せてしまいます。修正前のコードは、貼り合わせた文字列に対して別種のエスケープ処理をかけていましたが、これはSQLの引用符を安全にする用途のものではなく、防御になっていませんでした。

悪用にログインは要りません。公開されている検索フォームから、会員のメールアドレスやパスワードの符号（ハッシュ）といった、データベースに入っている情報を引き出される恐れがあります。書き換えはできないため危険度はCVSS 7.5にとどまりますが、抜かれた情報は他のサービスへの不正ログインに使い回されます。

影響を受けるのは1.80.280以下で、1.81.282で修正されました。ここで一点、更新履歴の読み方に落とし穴があります。ひとつ前の1.80.280の更新履歴にも「SQLインジェクションの脆弱性を修正」とまったく同じ文言が書かれていますが、そちらは別の（より前の）欠陥に対するもので、今回の脆弱性は残ったままです。更新履歴の文面だけで判断せず、バージョン番号が1.81.282以上になっているかで確かめてください。

CVE-2026-14516：予約管理「Bookly」で会員情報を抜かれる（公表された対象版が実態と違う）

Booklyは、サロンやクリニック、教室などが予約とスタッフの割り当てを管理するための拡張機能で、導入数は6万以上。今回の13件で最も多くのサイトが使っています。今回の欠陥（CVE-2026-14516）は、担当スタッフを指定する staff_ids という項目の値が、そのままデータベースへの命令文に埋め込まれてしまうというものです。

悪用の手順は2段階です。まずログイン不要で呼び出せる予約フォームの初期化処理を叩いて、細工した staff_ids を含む予約セッションを作らせます。次に空き時間を表示させる処理を呼ぶと、その汚れた値が命令文に届きます。どちらの入り口にも、正規の操作かを確かめる合言葉（nonce）の検証がないため、別のサイトに置いた仕掛けから、訪問者のブラウザ経由でこの連鎖を始めることもできます。応答が返るまでの時間差で中身を1文字ずつ言い当てる「時間差型」のため、抜き取りには時間がかかりますが、会員のメールアドレスや予約履歴といった情報が対象になります。危険度はCVSS 7.5です。

ここからが本題です。CVEに登録された「影響を受けるバージョン」は27.5以下と書かれています。素直に読めば、次の27.6で直ったことになります。ところが実際には違いました。配布されている27.5・27.6・27.7の中身を突き合わせたところ、問題の処理は3つの版でまったく同じままで、値を整数に変換する修正が入るのは27.8（2026年7月10日公開）からです。27.8では、値を受け取る箇所に「予約フォームから来る未検証の値が、そのまま命令文の並びに流れ込むため整数化する」という趣旨の注記まで添えられています。

つまり、27.6や27.7を使っているサイトは、公表された対象範囲の外にいながら、実際には攻撃できる状態にあります。しかもBooklyの更新履歴は配布元の別サイトにあり、27.8の項目にはセキュリティ修正の記載が一切ありません。対象範囲の記載と更新履歴、どちらを見ても安心してしまう配置になっています。Booklyを使っているなら、バージョンが27.8以上かどうかだけを確認してください。

CVE-2026-12800：デジタル商品販売「Premium Packages」でクーポン欄からデータベースを覗かれる

Premium Packagesは、ファイル配布の定番拡張機能WordPress Download Managerに、有料販売の機能を足すための追加部品です。開発元はW3 Eden。今回の欠陥（CVE-2026-12800）は、買い物かごのクーポン適用を受け付ける窓口で、入力されたクーポンコードがそのままデータベースへの問い合わせ文に埋め込まれていたというものです。ログイン不要で、クーポン欄に命令文の断片を入れるだけで成立します。危険度はCVSS 7.5です。

修正されたのは7.0.0です。ここにも読み方の注意があります。7.0.0は中身を一から書き直した大型更新で、問題の処理を含むファイルごと削除され、置き換わった新しい処理では値を安全に埋め込む書き方になっています。ただし7.0.0の更新履歴にこの脆弱性への言及はありません。開発元が報告を受けたのは7.0.0の公開から6日後で、つまりこの欠陥は書き直しの副産物として消えていた形です。7.0.5の更新履歴にはセキュリティ修正が2件書かれていますが、それらは別の欠陥です。現行は7.0.5なので、素直にそこまで上げるのが確実です。

CVE-2026-14490：バックアップ拡張「Demi」でフォルダを丸ごと消される

Demiは、デモ用のサイト構成を一括で読み込んだり、バックアップやサーバー移転を行ったりする拡張機能です。今回の欠陥（CVE-2026-14490）は、本来隠しておくべき署名用の鍵を、外から読めるフォルダに置いていたことが出発点です。

この拡張機能は、復元処理の途中経過をやりとりする際、「正規の手続きから来た指示か」を署名で確かめる作りになっています。ところがその署名の鍵が、画像などをアップロードする公開フォルダの中に、先頭がドットのファイルとして置かれていました。アクセスを遮る設定も入っていません。鍵を拾った相手は正規の署名を自分で作れるようになり、しかも復元処理の受け口はログイン不要で開いています。仕上げに、削除するフォルダの場所に制限がかかっていないため、サーバー上の任意のフォルダを中身ごと再帰的に消せます。危険度はCVSS 7.5です。

影響を受けるのは0.0.7以下です。0.0.8で一時フォルダへのアクセス遮断が入りましたが、配布元の更新履歴を読むと、鍵を公開領域の外へ移し、ログイン不要の入り口をふさぎ、パスの検査を厳しくする本格的な修正が入ったのは0.0.9です。使っているなら0.0.9まで上げてください。導入数は300以上と小規模ですが、消される対象がサイト本体とバックアップである以上、当たったときの損失はこの一覧で最も大きくなり得ます。

TrueBookerは2026年だけで7件、この拡張機能をどう扱うか

予約受付のTrueBookerだけ、事情が他と違うので独立して扱います。今回この拡張機能では2件が同時に公表されました。前述のパスワード書き換え（CVE-2026-14545）に加えて、もう1件がこれです。

CVE-2026-13161：予約情報を照会する処理からデータベースを抜かれる

CVE-2026-13161は、予約の更新を扱う処理で、利用者IDの値がそのままデータベースへの命令文に埋め込まれていたというものです。一見すると、この処理には正規の操作かを確かめる合言葉（nonce）の検証が入っています。しかしその合言葉は、ログインしていない訪問者にも予約ページ上で見えてしまうため、防御として機能していませんでした。危険度はCVSS 7.5です。

修正版は1.2.3です。ただし1.2.3を目標にしてはいけません。その1.2.3自体が、5日前の7月23日に公表された別の2件（危険度9.3の無認証SQLインジェクションと、9.8の無認証権限昇格）の対象だからです。これらすべてを含めて安全になる最初の版は1.2.4で、現行は1.2.6です。

※CVE-2026-14545はCVEの登録情報に危険度の数値がなく、報告元WPScanのサイト掲載値です。

4か月で7件、うち4件がログイン不要で危険度9以上。しかも公表が3つの異なる報告機関から別々のタイミングで出ており、「最新版に上げた」と思った直後にまた別の番号が付く、という状態が続いています。実際、本記事も当初はこの拡張機能について「2か月で2度目」と書きましたが、同じ日の数時間後に7件目が公表されて書き直しています。

こうなると、個々の脆弱性を追うよりこの拡張機能を使い続けるかどうかを判断する段階です。導入数は600以上と小さく、同じ用途なら選択肢は他にもあります。使い続けるなら1.2.6へ上げたうえで自動更新を有効にし、予約データに個人情報を置いているなら、そもそも会員のどこまでをこのプラグインに預けるかを見直しておくのが安全です。予約系プラグインは狙われやすく、10万サイトが使うLatePointでも管理者を奪われる脆弱性が出ています。

残る5件はどんな脆弱性か

ここからは、悪用に何らかのアカウントが必要な5件です。危険度の数字は高いものもありますが、実際に届く範囲は前の3件より狭くなります。自分が使っているものだけ読んでも構いません。

CVE-2026-16585：チャット「Better Messages」で設定ファイルを消されサーバーを奪われる

Better Messagesは、会員同士のチャットやグループ会話をサイトに追加する拡張機能です。今回の欠陥（CVE-2026-16585）は、チャットで使うスタンプ（ステッカー）の削除処理で、消してよい場所の検査が甘かったというものです。

検査は「アップロード用フォルダのURLで始まっていればよい」という前方一致でした。そのためURLの先頭は正規のまま、途中に一つ上の階層へ戻る記号（../）を紛れ込ませると、検査をすり抜けます。URLを整形する処理が使っていた関数はこの記号を取り除かないため、そのまま保存されて実行されます。行き着く先は、WordPressの接続情報を持つwp-config.phpの削除です。この1ファイルが消えるとWordPressは初期設定の画面に戻り、攻撃者が自分のデータベースをつないで乗っ取れる状態になります。危険度はCVSS 7.2です。

ただし悪用には管理者権限が必要で、外から直接狙えるものではありません。影響を受けるのは2.15.19以下で、2.15.20で修正されています。修正の中身は配布元のソース変更履歴で確認できます。更新履歴には修正が明記されていないため、番号だけを見て「関係ない更新」と判断しないよう注意してください。報告はWordfenceによるものです。

CVE-2026-14870：問い合わせ保存「Database for Contact Form 7」で管理者が罠のリンクを踏むと乗っ取られる

これは、Contact Form 7やWPForms、Elementorのフォームに届いた内容をサイト内に保存しておく拡張機能で、導入数は6万以上あります。今回の欠陥（CVE-2026-14870）は、管理画面が受け取った値をそのまま画面に出し戻していたことによる、いわゆる反射型のスクリプト実行です。

攻撃者は、細工した値を仕込んだ管理画面のURLを用意し、それを管理者に踏ませます。踏んだ瞬間、管理者のブラウザ上で攻撃者の書いたプログラムが動き、その権限で新しい管理者を追加するといった操作が実行されます。攻撃者自身にログインは要りませんが、管理者を騙してリンクを開かせる一手間が必要という点で、外から自動で刈り取れる3件とは性質が違います。危険度はCVSS 7.1です。影響を受けるのは1.5.3より前で、後述の理由から1.5.5まで上げるのが確実です。

CVE-2026-14926：通販「FluentCart」で他人の定期購入を勝手に操作される

FluentCartは、WordPressに通販機能を追加する比較的新しい拡張機能で、定期購入（サブスクリプション）にも対応しています。今回の欠陥（CVE-2026-14926）は、支払い方法まわりの複数の窓口が、その契約が本当に操作しようとしている本人のものかを確かめていなかったというものです。

同じサイトに会員登録している人であれば、他人の契約の識別番号を知りさえすれば、その契約の支払い方法を変えたり、解約して別の条件で結び直したりできます。契約番号は連番になっていることが多く、順番に試せば当たる可能性があります。金銭に直結する反面、悪用には会員登録が必要で、対象を狙い撃ちにする形になるため、危険度はCVSS 4.2にとどまります。影響を受けるのは1.4.0より前で、こちらも1.5.3以降（最新は1.5.5）まで上げるのが確実です。

CVE-2026-14819：チケット販売「Event Tickets」で編集者が上位権限者を狙える

Event Tickets and Registrationは、イベントの申込受付やチケット販売を担う拡張機能で、導入数は9万以上と今回の中では最大です。同じ開発元のイベントカレンダー系プラグインは、7月にも別の情報流出の脆弱性が公表されています。

今回の欠陥（CVE-2026-14819）は、イベント名をチケットの操作履歴に出力する際の処理が甘く、名前に仕込んだプログラムがそのまま保存・実行されるというものです。ただし成立には編集者以上の権限が必要で、しかも複数サイトをまとめて運用するマルチサイト構成に限られます。導入数は多いものの、条件を満たすサイトはかなり絞られ、危険度もCVSS 3.5と低い部類です。5.28.4より前が対象で、現在の最新は5.29.1です。

CVE-2026-14821：アンケート作成「Quiz and Survey Master」で寄稿者にひな形を消される

Quiz and Survey Masterは、アンケートやクイズを作る定番の拡張機能で、導入数は4万以上です。今回の欠陥（CVE-2026-14821）は、結果表示のひな形（テンプレート）を削除する処理に権限の確認が入っておらず、寄稿者程度の低い権限でも、ひな形を勝手に消せるというものです。

消されて困るのは表示の設定であって、会員情報が漏れたりサーバーを乗っ取られたりするわけではありません。危険度もCVSS 2.7と、今回の13件で最も低くなっています。外部ライターに寄稿者アカウントを配っている運用なら、11.1.5以降（最新は11.2.2）へ上げておけば十分です。WPScanの一覧で過去の報告もまとめて確認できます。

「修正版に上げた」で終わらない拡張機能が3つある

今回の一覧を見て更新作業をするときに、ひとつ落とし穴があります。今回のCVEの修正版に上げただけでは、直近に公表された別の脆弱性が残る拡張機能が3つ混じっています。この記事の早見表で一部の「安全な版」を修正版より先の番号にしているのは、そのためです。

とくにFluentCartの後発の問題は、ログイン不要で注文者の個人情報が見えてしまうというもので、今回のCVE-2026-14926（会員が必要・4.2）より実害が出やすい内容です。通販を動かしているなら、1.4.0で止めずに1.5.3以降まで上げてください。

この「1件直したつもりが最新ではない」現象は珍しくありません。脆弱性の公表は、修正版が出てから数日〜数か月遅れて行われるのが普通で、その間に次の版が出ているからです。そして今回、最も重いのがBooklyです。こちらは後発の脆弱性ですらなく、CVEに登録された対象範囲そのものが実態とずれており、範囲外とされる27.6・27.7が実際には攻撃できます。6万サイトが対象で、更新履歴にもセキュリティ修正の記載がありません。似た落とし穴がもうひとつ、WP Fast Total Searchにあります。こちらは後発の脆弱性ではなく更新履歴の文面が紛らわしいケースで、脆弱なほうの1.80.280にも「SQLインジェクションの脆弱性を修正」と書かれています。文面を信じて「もう直っている」と判断すると、そのまま残ります。ですから、CVEに書かれた修正版の番号を追いかけるより、素直にその時点の最新版へ上げるほうが早くて確実です。同じ理由から、60万サイトが対象となったNinja Formsの件のときも、対象版だけを見て安心するのは危険だと書きました。

いま何をすればいいのか

やることはシンプルです。管理画面から、次の順で進めてください。

点検で見るべき場所は、脆弱性の種類によって違います。SMS Alertを使っていたなら、会員一覧に不審なアカウントが増えていないかと、管理者アカウントに身に覚えのないログインの形跡がないか。Bookly・Premium Packages・WP Fast Total Search・TrueBookerのようにデータベースを読まれるタイプは、サイトの見た目が一切変わらないため、痕跡はアクセスログにしか残りません。会員に個人情報を預かっているなら、更新後にパスワードの再設定を案内しておくのが安全です。TrueBookerを使っていたなら「ユーザー」一覧に知らない管理者が増えていないか、そして自分のパスワードで問題なく入れるか。Tablesomeなら、会社概要や料金ページなど普段あまり開かない固定ページの中身が書き換わっていないか。これらは管理者権限を奪われずに実行できるため、ログイン履歴だけを見ても異常が出ません。Demiを使っていたなら、バックアップの保存先が空になっていないかを先に確認してください。

今回の13件は、いずれも米政府CISAが公開している実際に攻撃が確認された脆弱性のリスト（KEV）には載っていません。つまり現時点で「もう狙われている」という段階ではありません。ただしKEVは攻撃が観測されて初めて載るもので、載ってからでは対応が後手に回ります。公表直後の今のうちに更新を終えておくのが、いちばん安く済む対処です。

日常の備えとしては、使っていない拡張機能を消し、残すものは自動更新を有効にしておくことに尽きます。「入れっぱなし」がいちばん危ないという話は、過去のWordPress拡張機能の脆弱性まとめでも繰り返し書いてきました。自作のテーマやカスタム開発で外部の部品を使っている場合は、依存パッケージをまとめて点検できるスキャナーもあわせて使うと、拡張機能の外側の抜けも拾えます。

まとめ

2026年7月28日に公表された13件のうち、急ぐのはログイン不要の8件です。本人確認のSMS Alertは他人のアカウントにそのままログインされ（CVSS 9.8）、予約受付のTrueBookerは管理者のパスワードを書き換えられ（同9.8）、表作成のTablesomeは公開中のページを上書きされ、サイト内検索のWP Fast Total Searchはデータベースの中身を抜かれ、バックアップのDemiはフォルダごと消されます。加えて予約管理のBookly（6万サイト）、デジタル商品販売のPremium Packages、そしてTrueBookerのもう1件が、いずれも無認証でデータベースの中身を抜かれるタイプです。残る5件は管理者・編集者・会員といった権限が前提で、危険度の数字ほど急ぎではありません。導入数の大きいEvent Ticketsやアンケート作成のQuiz and Survey Masterは、いずれも条件が限られる低い危険度でした。

13件すべてに修正版は出ています。作業自体は管理画面から数分で終わるものです。気をつけたいのは3点。まずBookly——公表された対象範囲が「27.5以下」でも、実際には27.7まで危険です。27.8以上かどうかだけを見てください。次に、Database for Contact Form 7・FluentCart・Event Ticketsの3つは、今回の修正版に上げただけでは別の新しい欠陥が残ります。そしてWP Fast Total Searchは、ひとつ前の版の更新履歴にも同じ「SQLインジェクション修正」の文言があるため、文面ではなくバージョン番号で確かめる必要があります。TrueBookerに至っては2026年だけで7件が公表されており、使い続けるかどうかから考える段階です。番号を細かく合わせにいくより、その時点の最新版へ上げてしまうほうが確実に安全です。実際の攻撃やCISAのリストへの掲載が確認された場合は、この記事に追記します。

参照元

• ▸ NVD - CVE-2026-15014（SMS Alert）
• ▸ NVD - CVE-2026-14516（Bookly）
• ▸ NVD - CVE-2026-12800（Premium Packages）
• ▸ NVD - CVE-2026-13161（TrueBooker・2件目）
• ▸ Bookly - 更新履歴（配布元）
• ▸ Patchstack - TrueBooker 脆弱性一覧
• ▸ NVD - CVE-2026-12741（WP Fast Total Search）
• ▸ NVD - CVE-2026-11387（SMS Alert・7月1日公表の別件）
• ▸ NVD - CVE-2026-14545（TrueBooker）
• ▸ NVD - CVE-2026-14924（Tablesome Table）
• ▸ NVD - CVE-2026-14490（Demi）
• ▸ NVD - CVE-2026-16585（Better Messages）
• ▸ NVD - CVE-2026-14870（Database for Contact Form 7）
• ▸ NVD - CVE-2026-14926（FluentCart）
• ▸ NVD - CVE-2026-14819（Event Tickets and Registration）
• ▸ NVD - CVE-2026-14821（Quiz and Survey Master）
• ▸ WPScan - TrueBooker < 1.2.4 Unauthenticated Arbitrary Password Reset
• ▸ WPScan - Tablesome Table < 1.1.31 Unauthenticated Post Creation/Overwrite
• ▸ Wordfence Intelligence - Better Messages <= 2.15.19 Arbitrary File Deletion
• ▸ WordPress.org Plugin Trac - Better Messages 修正差分（changeset 3623636）
• ▸ Patchstack - TrueBooker <= 1.1.9 Broken Access Control（CVE-2026-48881）
• ▸ WordPress.org - Demi プラグイン更新履歴
• ▸ Wordfence Intelligence - WordPressプラグイン脆弱性データベース