WordPressの人気AIプラグイン『AI Engine』に管理者を勝手に作られる脆弱性 CVE-2026-15988、10万サイトはv3.6.6へ即更新を
WordPress向けの人気AIチャットボット作成プラグイン『AI Engine』に、管理者アカウントを勝手に作られる脆弱性が見つかりました。世界で10万サイト超が対象で、CVSSは8.8。ログイン中の管理者が細工されたリンクを開くと乗っ取られる恐れがあり、最新版3.6.6以降への更新が必要です。
目次
WordPress向けの人気AIチャットボット作成プラグイン『AI Engine』に、管理者アカウントを勝手に作られる脆弱性が見つかりました。世界で10万サイト超が対象で、CVSSは8.8。ログイン中の管理者が細工されたリンクを開くと乗っ取られる恐れがあり、最新版3.6.6以降への更新が必要です。
WordPressサイトにAIチャットボットや文章生成機能を追加できる人気プラグイン「AI Engine」に、攻撃者が管理者アカウントを勝手に作れてしまう脆弱性が見つかりました。管理番号はCVE-2026-15988、危険度を示すCVSSスコアは10点満点中8.8（重要）です。
AI Engineは世界で10万サイト以上が使う定番プラグインです。バージョン3.6.5以前のすべてが対象で、修正版の3.6.6がすでに公開されています。悪用されると、サイトの管理権限をまるごと奪われる恐れがあります。まだ更新していないサイトは、開発元のMeow Appsが配布する最新版へ早めに上げてください。
今回の脆弱性の概要
| 項目 | 内容 |
|---|---|
| 管理番号 | CVE-2026-15988 |
| 対象ソフト | AI Engine（WordPress用プラグイン） |
| 危険度（CVSS） | 8.8 / 10.0（重要） |
| 脆弱性の種類 | なりすまし操作の悪用 （クロスサイトリクエストフォージェリ／CSRF） |
| 影響を受ける版 | 3.6.5 以前のすべて |
| 修正された版 | 3.6.6（2026年7月30日公開） |
| 導入サイト数 | 10万以上 |
| 悪用の確認 | 現時点で報告なし（後述） |
脆弱性の情報は、WordPressのセキュリティ会社Wordfenceの脅威インテリジェンスと、米国政府の脆弱性データベース「NVD」で公開されています。
誰が狙い、何をされるのか
この穴を突こうとするのは、WordPressサイトを乗っ取り、不正広告の表示やマルウェア配布、フィッシングの踏み台に使いたい攻撃者です。標的になるのは、AI Engineを入れたまま古いバージョンで運用している企業サイト・店舗サイト・個人ブログなど、規模を問いません。
攻撃者がすることは、サイトの管理者に、細工した罠のリンクやページをこっそり踏ませ、本人が気づかないうちに攻撃者専用の管理者アカウントを新しく作らせることです。攻撃者自身はサイトにログインする必要がありません。管理者を一度だまして罠のページを開かせれば、それだけで裏口となる管理者が一人増えてしまいます。
こうして管理者を握られると、サイトの運営者は投稿の改ざん・全データの持ち出し・別のマルウェアの埋め込みなど、あらゆる操作を許してしまいます。サイトを訪れた一般の利用者も、気づかぬうちに偽のログイン画面へ誘導されたり、ウイルスをダウンロードさせられたりする危険にさらされます。だからこそ、対象バージョンを使っているなら更新が最優先になります。
AI Engineとはどんなプラグインか
AI Engineは、WordPressで動くサイトにAIの機能をまとめて追加できるプラグインです。開発しているのは、日本在住のエンジニアJordy Meow（ジョーディ・メオ）氏と、同氏が運営するMeow Appsです。
このプラグインを入れると、サイトに問い合わせ用のAIチャットボットを置いたり、記事の下書きをAIに書かせたり、AIを使ったフォームを作ったりできます。裏側ではOpenAI（ChatGPT）、Anthropic（Claude）、Google、Mistralといった主要なAIサービスと接続でき、無料版でも多機能なことから、WordPressのAIプラグインの中でも定番として広く使われています。評価は5点満点中4.9、導入サイト数は10万を超えています。
近年は、AIが外部のツールやデータを操作するための共通規格「MCP（Model Context Protocol）」への対応にも力を入れています。ChatGPTやClaudeのようなAIから、WordPressの中身を操作させる橋渡し役になれる仕組みです。便利さが増す一方で、外部とつながる入口も増えており、その入口の作り込みの甘さが今回のような脆弱性につながっています。
なぜ管理者を勝手に作れてしまうのか
今回の脆弱性の種類は、専門的には「クロスサイトリクエストフォージェリ（CSRF）」と呼ばれます。これは、ログイン中の利用者になりすまして、本人が意図しない操作をサイトに実行させる攻撃手法です。日本語では「なりすまし操作の強要」などと訳されます。
通常、WordPressでは重要な操作をするとき、「その操作が本人の意思によるものか」を確認するための使い捨ての合言葉（nonce＝ノンス）を毎回チェックします。ところがAI Engineの認証まわりの処理（内部名 reauth_for_authorize）では、この合言葉の確認が抜けていたり不十分だったりしていました。NVDの解説によれば、攻撃者はWordPressの仕様を逆手に取り、単なる閲覧のリクエスト（GET）を、あたかも管理者本人が送った書き込みリクエスト（POST）にすり替え、利用者を新規作成するAPIを呼び出せてしまいます。その結果、攻撃者用の管理者アカウントが作られてしまうという流れです。
ここで押さえておきたいのは、攻撃が成立するには「ログイン中の管理者に、罠のページを開かせる」というひと手間が必要な点です。CVSSの評価でも「利用者の操作が必要（UI:R）」と分類されています。攻撃者が何もしないのに勝手に乗っ取られる、いわゆる素通しの穴ではありません。とはいえ、攻撃者側にアカウントが不要で、管理者を一度だますだけで成立するため、メールやSNSのリンクを使った古典的な手口で十分に狙えます。油断できる軽さではありません。
対象バージョンと対処法
対処はシンプルで、AI Engineを3.6.6以降へ更新するだけです。執筆時点の最新版は3.6.7で、こちらでも問題ありません。WordPressの管理画面「プラグイン」から更新できます。自動更新を有効にしていないサイトは、手動での更新を早めに済ませてください。
| 使っているバージョン | 状態 | やること |
|---|---|---|
| 3.6.5 以前 | 危険（対象） | 今すぐ3.6.6以降へ更新 |
| 3.6.6 | 修正済み | 対応不要（最新推奨） |
| 3.6.7 | 修正済み（最新） | 対応不要 |
更新後は、念のため管理者アカウントの一覧を確認することをおすすめします。WordPressの「ユーザー」画面を開き、身に覚えのない管理者権限のアカウントが増えていないかをチェックしてください。見慣れない管理者や、不自然なメールアドレスのアカウントがあれば、すぐに削除し、既存の管理者のパスワードも変更しておくと安心です。プラグインを日頃から最新に保つことは、外部から取り込む部品（OSS）の弱点を突く攻撃への基本的な備えにもなります。
修正版3.6.6は複数の穴をまとめてふさいでいる
今回の管理者作成の脆弱性だけが直ったわけではありません。Meow Appsが2026年7月30日に公開した3.6.6は、セキュリティ面の複数の修正をまとめたリリースになっています。公開された変更点には、次のような項目が並びます。
- 外部から指定されたファイルの場所やAPIキーを、そのまま受け付けないようにデータの入口（REST API）を堅くした
- MCPの認証（OAuth）で、経路の判定を正し、認証をすり抜けられる問題を修正した
- ゲスト用のセッションの識別情報（クッキー）を、外部から書き換えられないようにした
- チャットボット用のキーが、編集者権限の利用者にまで見えてしまう問題を止めた
つまり3.6.6は、CVE-2026-15988を含む複数のセキュリティ上の弱点を一度にふさぐ更新です。「今回のCVEだけなら自分のサイトは関係ないかも」と後回しにせず、対象バージョンを使っているなら更新しておくのが安全です。
AI Engineは脆弱性の報告が続いているプラグイン
AI Engineは便利で人気がある一方、ここ数年はセキュリティの指摘が繰り返し出ているプラグインでもあります。特にAIと外部をつなぐMCP関連の機能が加わってから、その入口をめぐる脆弱性が目立ちます。過去に公表された主なものを整理すると、次のとおりです。
| 管理番号 | 内容 | 対象版 | 危険度 |
|---|---|---|---|
| CVE-2026-15988 （今回） | なりすまし操作で 管理者を勝手に作成 | 3.6.5以前 | 8.8 |
| CVE-2025-11749 | 認証情報の露出から 管理者権限の奪取 | 3.1.3以前 | 9.8 |
| CVE-2025-5071 | MCP経由での 権限の格上げ | 2.8.0〜2.8.3 | 高 |
| CVE-2024-29090 | サーバーに任意の通信を させる（SSRF） | 2.1.4以前 | 中〜高 |
2025年10月に公表されたCVE-2025-11749は、危険度9.8の重大な脆弱性でした。当時の報道によれば、MCPの「認証なしURL」機能を有効にしていると、公開されたAPIの一覧から認証情報が読み取られ、管理者権限を奪われる恐れがありました。この問題は3.1.4で修正されています。過去の脆弱性の詳しい条件はWPScanの脆弱性データベースでも確認できます。
開発元は指摘を受けるたびに素早く修正版を出しており、対応の速さ自体は評価されています。ただ利用者側から見れば、AI Engineは「入れっぱなしにせず、こまめに更新する前提で使うプラグイン」だと考えておくのが現実的です。自動更新を有効にしておくと、こうした修正を取りこぼしにくくなります。
悪用の状況（確認済み／未確認の整理）
執筆時点で分かっていることと、まだ分かっていないことを分けて整理します。過度に不安になる必要はありませんが、対象バージョンを放置してよい理由にもなりません。
✓ 確認済みの事実
? 現時点で確認されていないこと
- ?実際に攻撃に使われたという報告 ― 執筆時点では確認されていない
- ?攻撃の再現手順（PoC）の一般公開 ― 執筆時点では確認されていない
- ?米政府CISAが「実際に攻撃されている脆弱性リスト（KEV）」へ掲載 ― 執筆時点では未掲載
実際に攻撃されている脆弱性かどうかは、CISA KEV（実際に攻撃されている脆弱性の一覧）の日本語版ダッシュボードで最新の状況を追えます。CVE-2026-15988が今後掲載されるかどうかも、ここで確認できます。
まとめ
WordPressの人気AIプラグイン「AI Engine」の3.6.5以前に、攻撃者用の管理者アカウントを勝手に作られる脆弱性（CVE-2026-15988、CVSS 8.8）が見つかり、修正版3.6.6が公開されました。攻撃者にログインは不要ですが、成立には管理者を罠のページに誘導するひと手間が必要で、いわゆる素通しの穴ではありません。それでも、だますだけで裏口の管理者を作られる以上、10万を超える導入サイトにとって放置は禁物です。
やることは、3.6.6以降への更新と、管理者アカウント一覧の点検の二つだけです。AI Engineは過去にも危険度9.8の脆弱性を含め報告が続いており、自動更新を有効にして最新の状態を保つ運用が、このプラグインとうまく付き合うコツになります。今後、悪用の報告やKEVへの掲載など新しい動きがあれば、追って更新します。
参照元
堀川 慎
Backend Engineer / AWS / Django / Go