WordPressのAI Engine脆弱性まとめ 3.6.6では不十分、最新3.7.1へ更新を

WordPressサイトにAIチャットボットや文章生成機能を追加できる人気プラグイン「AI Engine」で、攻撃者が管理者アカウントを勝手に作れてしまう脆弱性CVE-2026-15988（CVSS 8.8）が公開されました。この記事はその単発の報道として2026年8月1日に公開したものですが、その後の16日間で新たに4件のCVEが公開され、そのうち1件は当初の推奨だった3.6.6では直っていません。そのため、AI Engineの脆弱性をまとめて追う記事に改めました。

AI Engineは世界で10万サイト以上が使う定番プラグインです。WordPress.orgのプラグインページによれば、累計ダウンロード数は7,409,445、評価数は858件に達しています。2026年7月30日から8月8日までの10日間だけで5件のCVEが公開されており、いま必要な対処は「3.6.6へ更新する」ではなく「最新の3.7.1へ更新する」です。開発元のMeow Appsが配布する最新版を、WordPressの管理画面から適用してください。

2026年8月時点の対応表（どのバージョンなら安全か）

まず、自分のサイトが入れているバージョンで何が残るのかを確認してください。ここで扱うのは、2026年7月30日から8月8日までに公開された5件のCVEです。WordPressの管理画面「プラグイン」からAI Engineのバージョン番号を確認できます。

技術的には3.6.9以上であれば、ここで扱う5件はすべてふさがっています。ただし読者への案内としては最新版が簡明なので、この記事では3.7.1を推奨更新先として書きます。3.7.1は2026年8月14日に公開されたもので、changelogにセキュリティ修正の記載はなく、内部エラーの表示を絞るハードニング寄りの変更（「Internal errors are now hidden behind a filterable public message」）だけが記されています。

2026年に公開されたCVE一覧

2026年7月30日から8月8日までの10日間に、AI Engineでは5件のCVEが公開されました。件数が多いので、まず一覧にまとめます。CVSSは危険度を10点満点で示す指標、CWEは脆弱性の種類を分類する番号です。

ここで大事なのは、「公開日が新しい＝直っていない」ではないことです。CVE-2026-16953・16954・16955の3件は、CVE番号が公開されたのがCVE-2026-15988より後というだけで、修正自体は3.6.4と3.6.6で先に済んでいます。CNA（CVE番号を採番する組織）は3件ともWPScanで、報告者はRevanth Hari Narayana Matte氏です。すでに3.6.6以降へ更新済みのサイトは、この3件については追加の作業は要りません。

対して、残る1件だけは事情が違います。

CVE-2026-65545: 3.6.6では直っていない無認証の格納型XSS

5件のうちCVE-2026-65545だけは、当初この記事が案内した3.6.6では修正されていません。影響を受けるのは3.6.8以下、つまり3.6.6も3.6.7も3.6.8も対象で、修正版は2026年8月1日に公開された3.6.9です。CVE自体が公開されたのは8月6日で、CNAはPatchstack、発見者はPatchstackのバグバウンティ経由で報告したdaroo氏です。

格納型クロスサイトスクリプティング（XSS）とは、攻撃者が送り込んだスクリプトがサイト側に保存され、別の利用者がその画面を開いたときに実行されてしまう問題です。AI Engineの場合、WordPress.orgのchangelogの3.6.9には「Stored chat messages could run scripts when an admin opened a discussion.」（保存されたチャットのメッセージが、管理者が会話を開いたときにスクリプトを実行しうる）と記載されています。チャットボットに送られたメッセージが保存され、管理画面で会話ログを開いた管理者のブラウザでスクリプトが動く、という流れです。

CVSSベクタを読むと、攻撃はネットワーク越しに可能（AV:N）、条件は容易（AC:L）、攻撃者に権限は不要（PR:N）で、ただし誰かの操作が必要（UI:R）です。ここでの「操作」は管理者が会話ログを開くことにあたるため、サイト運営者が普段どおり管理画面を使うだけで条件が満たされます。影響がプラグインの外にも及ぶ（S:C）と評価されている点も、スコア7.1を押し上げています。公開チャットボットを設置しているサイトは、3.6.9未満のままにしないでください。

今回の脆弱性の概要

ここからは、この記事がもともと扱っていたCVE-2026-15988、つまり管理者アカウントを勝手に作られる脆弱性の内容です。

脆弱性の情報は、WordPressのセキュリティ会社Wordfenceの脅威インテリジェンスと、米国政府の脆弱性データベース「NVD」で公開されています。

誰が狙い、何をされるのか

この穴を突こうとするのは、WordPressサイトを乗っ取り、不正広告の表示やマルウェア配布、フィッシングの踏み台に使いたい攻撃者です。標的になるのは、AI Engineを入れたまま古いバージョンで運用している企業サイト・店舗サイト・個人ブログなど、規模を問いません。

攻撃者がすることは、サイトの管理者に、細工した罠のリンクやページをこっそり踏ませ、本人が気づかないうちに攻撃者専用の管理者アカウントを新しく作らせることです。攻撃者自身はサイトにログインする必要がありません。管理者を一度だまして罠のページを開かせれば、それだけで裏口となる管理者が一人増えてしまいます。

こうして管理者を握られると、サイトの運営者は投稿の改ざん・全データの持ち出し・別のマルウェアの埋め込みなど、あらゆる操作を許してしまいます。サイトを訪れた一般の利用者も、気づかぬうちに偽のログイン画面へ誘導されたり、ウイルスをダウンロードさせられたりする危険にさらされます。だからこそ、対象バージョンを使っているなら更新が最優先になります。

AI Engineとはどんなプラグインか

AI Engineは、WordPressで動くサイトにAIの機能をまとめて追加できるプラグインです。開発しているのは、日本在住のエンジニアJordy Meow（ジョーディ・メオ）氏と、同氏が運営するMeow Appsです。

このプラグインを入れると、サイトに問い合わせ用のAIチャットボットを置いたり、記事の下書きをAIに書かせたり、AIを使ったフォームを作ったりできます。裏側ではOpenAI（ChatGPT）、Anthropic（Claude）、Google、Mistralといった主要なAIサービスと接続でき、無料版でも多機能なことから、WordPressのAIプラグインの中でも定番として広く使われています。評価は5点満点中4.9、導入サイト数は10万を超えています。

近年は、AIが外部のツールやデータを操作するための共通規格「MCP（Model Context Protocol）」への対応にも力を入れています。ChatGPTやClaudeのようなAIから、WordPressの中身を操作させる橋渡し役になれる仕組みです。便利さが増す一方で、外部とつながる入口も増えており、その入口の作り込みの甘さが今回のような脆弱性につながっています。

なぜ管理者を勝手に作れてしまうのか

今回の脆弱性の種類は、専門的には「クロスサイトリクエストフォージェリ（CSRF）」と呼ばれます。これは、ログイン中の利用者になりすまして、本人が意図しない操作をサイトに実行させる攻撃手法です。日本語では「なりすまし操作の強要」などと訳されます。

通常、WordPressでは重要な操作をするとき、「その操作が本人の意思によるものか」を確認するための使い捨ての合言葉（nonce＝ノンス）を毎回チェックします。ところがAI Engineの認証まわりの処理（内部名 reauth_for_authorize）では、この合言葉の確認が抜けていたり不十分だったりしていました。NVDの解説によれば、攻撃者はWordPressの仕様を逆手に取り、単なる閲覧のリクエスト（GET）を、あたかも管理者本人が送った書き込みリクエスト（POST）にすり替え、利用者を新規作成するAPIを呼び出せてしまいます。その結果、攻撃者用の管理者アカウントが作られてしまうという流れです。

ここで押さえておきたいのは、攻撃が成立するには「ログイン中の管理者に、罠のページを開かせる」というひと手間が必要な点です。CVSSの評価でも「利用者の操作が必要（UI:R）」と分類されています。攻撃者が何もしないのに勝手に乗っ取られる、いわゆる素通しの穴ではありません。とはいえ、攻撃者側にアカウントが不要で、管理者を一度だますだけで成立するため、メールやSNSのリンクを使った古典的な手口で十分に狙えます。油断できる軽さではありません。

対象バージョンと対処法

【訂正】この記事は公開当初、「AI Engineを3.6.6以降へ更新する」だけで対処が済むと案内していました。その案内は、現在では不十分です。3.6.6・3.6.7・3.6.8はCVE-2026-65545の対象であり、この脆弱性の修正版は3.6.9だからです。正しい対処は、最新の3.7.1へ更新することです。WordPressの管理画面「プラグイン」から更新できます。自動更新を有効にしていないサイトは、手動での更新を早めに済ませてください。バージョンごとの状態は、この記事の前半に置いた2026年8月時点の対応表にまとめています。

更新後は、念のため管理者アカウントの一覧を確認することをおすすめします。WordPressの「ユーザー」画面を開き、身に覚えのない管理者権限のアカウントが増えていないかをチェックしてください。見慣れない管理者や、不自然なメールアドレスのアカウントがあれば、すぐに削除し、既存の管理者のパスワードも変更しておくと安心です。公開チャットボットを運用しているサイトは、あわせて保存済みの会話ログにも目を通しておくと、CVE-2026-65545の観点でも安心材料になります。プラグインを日頃から最新に保つことは、外部から取り込む部品（OSS）の弱点を突く攻撃への基本的な備えにもなります。

修正版3.6.6は複数の穴をまとめてふさいでいる

今回の管理者作成の脆弱性だけが直ったわけではありません。Meow Appsが2026年7月30日に公開した3.6.6は、セキュリティ面の複数の修正をまとめたリリースになっています。公開された変更点には、次のような項目が並びます。

• 外部から指定されたファイルの場所やAPIキーを、そのまま受け付けないようにデータの入口（REST API）を堅くした
• MCPの認証（OAuth）で、経路の判定を正し、認証をすり抜けられる問題を修正した
• ゲスト用のセッションの識別情報（クッキー）を、外部から書き換えられないようにした
• チャットボット用のキーが、編集者権限の利用者にまで見えてしまう問題を止めた

この流れは、あとから公開された3件のCVEともつながっています。changelogの3.6.5には「Three security issues reported by WPScan (key disclosure to editors, guessable guest sessions, audio transcription file read)」（WPScanから報告された3件のセキュリティ問題。編集者へのキーの露出、推測可能なゲストセッション、音声書き起こしのファイル読み取り）と記されています。changelogにCVE番号は書かれていませんが、記載されている3つの内容は、2026年8月に公開されたCVE-2026-16954（情報露出）、CVE-2026-16953（認可不備）、CVE-2026-16955（パストラバーサル）の説明と同じものと読み取れます。番号が後から付いただけで、修正はすでに配布済みだったということです。

つまり3.6.6は、CVE-2026-15988を含む複数のセキュリティ上の弱点を一度にふさぐ更新です。ただし前述のとおり、3.6.6ではCVE-2026-65545が残ります。「今回のCVEだけなら自分のサイトは関係ないかも」と後回しにせず、3.7.1まで上げておくのが安全です。

AI Engineは脆弱性の報告が続いているプラグイン

AI Engineは便利で人気がある一方、ここ数年はセキュリティの指摘が繰り返し出ているプラグインでもあります。無料版とPro版を合わせて、これまでに公開されたCVEは通算33件にのぼります。年別に並べると、報告が増えている様子が分かります。

2026年は8月17日までで13件と、すでに前年を上回っています。しかもそのうち5件は、2026年7月30日から8月8日までのわずか10日間に集中しています（CVE-2026-15988／16954／65545／16953／16955）。この記事が単発のCVE解説ではなく、まとめて追う形に変わったのはそのためです。

33件のうち、CVSSが9.0以上の重大なものは5件あります。

• CVE-2023-51409（CVSS 10.0）
• CVE-2025-11749（CVSS 9.8）
• CVE-2024-34440（CVSS 9.1）
• CVE-2024-29100（CVSS 9.1）
• CVE-2026-23802（CVSS 9.1）

種別で分けると、報告の中身にも偏りが見えます。33件の内訳は次のとおりです。

過去に公表された主なもののうち、内容が分かりやすい4件を並べると次のとおりです。

2025年10月に公表されたCVE-2025-11749は、危険度9.8の重大な脆弱性でした。当時の報道によれば、MCPの「認証なしURL」機能を有効にしていると、公開されたAPIの一覧から認証情報が読み取られ、管理者権限を奪われる恐れがありました。この問題は3.1.4で修正されています。過去の脆弱性の詳しい条件はWPScanの脆弱性データベースや、Patchstackの脆弱性データベースでも確認できます。

開発元は指摘を受けるたびに素早く修正版を出しており、対応の速さ自体は評価されています。ただ利用者側から見れば、AI Engineは「入れっぱなしにせず、こまめに更新する前提で使うプラグイン」だと考えておくのが現実的です。自動更新を有効にしておくと、こうした修正を取りこぼしにくくなります。

なぜこのプラグインで報告が続くのか

件数だけを見て「危ないプラグイン」と決めつける前に、何が起きているのかを事実の範囲で整理しておきます。AI Engineは、WordPressにAIの機能を足すプラグインです。チャットボットの設置、記事の生成、音声の書き起こし、そしてMCPによる外部AIとの連携まで、機能の中身は外部サービスとの通信、ファイルの受け渡し、REST APIのエンドポイントが中心です。

この3つは、そのまま攻撃者から見た入口の数になります。前掲の種別内訳で任意ファイルアップロードが6件、SSRFが4件、情報露出が4件と並ぶのは、こうした機能構成を反映したものです。外部と通信する処理はSSRFの、ファイルを扱う処理は任意アップロードやパストラバーサルの、外部から呼べるエンドポイントは認可不備の検査対象になります。機能が増えるほど検査すべき面が広がるという関係は、AI連携を扱うソフトウェア全般に共通します。

同時に、報告を受けてからの動きが速いことも事実として挙げられます。CVE-2026-65545は8月6日にCVEが公開されましたが、修正版の3.6.9はその前の8月1日にすでに配布されていました。WPScanから報告された3件も、CVE公開より前の3.6.4と3.6.6でふさがれています。changelogでは報告者の名前をクレジットする形が取られており、3.7.0の記載にもその形が見られます。脆弱性の件数と、修正の届き方は別の指標として見るべきものです。

利用者側でできることは、使っている部品のバージョンを把握し、更新の通知を取りこぼさない仕組みを作ることです。サイトやアプリが取り込んでいる依存部品（OSS）の脆弱性を自動で洗い出す仕組みを用意しておくと、今回のように短期間で複数のCVEが出た場面でも、影響のあるバージョンを使っているかどうかをすぐに判断できます。

悪用の状況（確認済み／未確認の整理）

執筆時点で分かっていることと、まだ分かっていないことを分けて整理します。過度に不安になる必要はありませんが、対象バージョンを放置してよい理由にもなりません。

悪用されやすさの目安として、EPSSという指標もあります。これは、その脆弱性が今後30日以内に実際に悪用される確率を推定したものです。今回の5件はいずれも低い値です。

比較のために最後の行を入れました。2025年10月のCVE-2025-11749はEPSS 0.74759（99.46パーセンタイル）と桁違いに高く、それでもKEVには載っていません。今回の5件はその値より2桁低い水準です。数字の上では、いま慌てて特別な対応を取る段階ではないと読めます。

なお、PatchstackがCVE-2026-65545に付けている「moderately dangerous and expected to become exploited」（そこそこ危険で、今後悪用されると見込まれる）という文言は、同社が脆弱性の性質に対して付ける一般的な評価文であり、実際の悪用が確認されたという意味ではありません。攻撃の観測報告と評価文は分けて読む必要があります。

実際に攻撃されている脆弱性かどうかは、CISA KEV（実際に攻撃されている脆弱性の一覧）の日本語版ダッシュボードで最新の状況を追えます。今回の5件が今後掲載されるかどうかも、ここで確認できます。

国内での扱い

日本国内の公的な情報源については、JVN iPediaへの登録は確認できません。JPCERT/CCやIPAからの注意喚起も出ていません。AI Engineは国内でも使われているプラグインですが、公的機関のアナウンスを待っていると更新が遅れる可能性があります。

一方で、国内の技術メディアはこの一連の脆弱性を取り上げています。マイナビのTECH+「WordPress脆弱性40件、半数が悪用に認証不要 AI Engineでは管理者アカウント作成も【7月30日〜8月5日】」（2026年8月14日）が週次のまとめの中でCVE-2026-15988に触れているほか、KUSANAGIの「WordPress テーマ・プラグイン 脆弱性情報のまとめ（2026/07/30-2026/08/05）」でも同時期のプラグイン脆弱性が整理されています。なお、Security NEXTのAI Engine単独の記事は確認できません。

数値の表記には媒体差があります。KUSANAGIはCVE-2026-65545のCVSSを7.2と記載していますが、NVDとPatchstackはいずれも7.1です。この記事では7.1を採用しています。どちらであっても「重要」の区分に変わりはなく、対処（3.6.9以上への更新）も同じです。

まとめ

WordPressの人気AIプラグイン「AI Engine」では、2026年7月30日から8月8日までの10日間に5件のCVEが公開されました。中心はCVE-2026-15988（CVSS 8.8）で、攻撃者用の管理者アカウントを勝手に作られる脆弱性です。この記事は当初「3.6.6へ更新を」と案内しましたが、その後に公開されたCVE-2026-65545（CVSS 7.1、無認証の格納型XSS）は3.6.8以下が対象で、3.6.6では直っていません。推奨する更新先は、最新の3.7.1です。

やることは、3.7.1への更新と、管理者アカウント一覧の点検の二つです。残る3件（CVE-2026-16953／16954／16955）は、CVE番号が後から公開されただけで、修正は3.6.4と3.6.6で先に済んでいます。更新済みのサイトは追加の作業は要りません。悪用については、CISA KEVへの掲載も、実証コードの公開も、実際の攻撃報告も確認されていません。EPSSの値も5件すべてが低い水準です。

AI Engineの公開済みCVEは通算33件、2026年だけで13件にのぼります。外部との通信・ファイル処理・REST APIという攻撃面の広さを踏まえると、このプラグインは自動更新を有効にし、最新版を保つ前提で使うのが現実的な運用です。今後、新しいCVEの公開や悪用の報告があれば、この記事に追記します。

参照元

• ▸ NVD - CVE-2026-15988 Detail
• ▸ NVD - CVE-2026-65545 Detail
• ▸ Patchstack - AI Engine の脆弱性データベース
• ▸ Wordfence Intelligence - AI Engine の脆弱性一覧
• ▸ WPScan - AI Engine の脆弱性一覧
• ▸ WordPress.org - AI Engine プラグインページ（changelog・導入数）
• ▸ Meow Apps - AI Engine 公式サイト
• ▸ FIRST - EPSS（悪用可能性スコア）
• ▸ CISA - Known Exploited Vulnerabilities Catalog
• ▸ マイナビ TECH+ - WordPress脆弱性40件、半数が悪用に認証不要 AI Engineでは管理者アカウント作成も【7月30日〜8月5日】
• ▸ KUSANAGI - WordPress テーマ・プラグイン 脆弱性情報のまとめ（2026/07/30-2026/08/05）
• ▸ Rapid7 - AI Engine CVE-2025-11749
• ▸ Cybersecurity News - AI Engine Plugin Exposes 100,000 WordPress Sites
• ▸ WPScan - AI Engine 脆弱性データベース

更新履歴

• ▸ 2026年8月17日：単発のCVE解説から、AI Engineの脆弱性をまとめて追う記事に改めました。公開時に「3.6.6へ更新すれば対処は完了」と案内していた点を訂正します。その後に公開されたCVE-2026-65545（CVSS 7.1、無認証の格納型XSS）は3.6.8以下が対象で、3.6.6・3.6.7・3.6.8では修正されていません。推奨する更新先を3.6.6から最新の3.7.1に改めました。あわせて、2026年8月に公開されたCVE-2026-16953／16954／16955（いずれも修正は3.6.4・3.6.6で完了済み）、バージョン別の対応表、通算33件のCVE統計、EPSSとCISA KEVによる悪用状況の確認結果、国内メディアの扱いを追記しました。
• ▸ 2026年8月1日：初版を公開しました（CVE-2026-15988、CVSS 8.8、修正版3.6.6）。