LatePoint CVE-2026-13228、5.6.9では不足で5.6.10へ

美容室やクリニック、士業など、予約受付を自動化するWordPress向けの人気プラグイン「LatePoint（レイトポイント）」に、サイト全体を乗っ取られる深刻な脆弱性が見つかりました。管理番号はCVE-2026-13228で、危険度は10点満点中8.8点（重要度「高」）です。

問題は、予約サイトで働くスタッフ用の「エージェント」という限定的な権限しか持たないアカウントから、サイトの持ち主である管理者（最高権限）のアカウントを丸ごと奪える点にあります。開発元は2026年6月30日に修正版「5.6.4」を公開しました。ただし7月以降も修正が重ねられ、2026年8月7日時点の最新版は5.6.10です。LatePointは世界で10万サイト以上が使っており、予約サイトの運営者は最新版まで上げる必要があります。

誰が、何のために狙うのか

この脆弱性を突けるのは、外部から誰でも、というわけではありません。狙うのは予約サイトで働くスタッフ用のアカウント（エージェント）を持っている人物、あるいはそのスタッフのログイン情報を盗み出した攻撃者です。受付担当のパートさん、業務委託の予約管理スタッフ、あるいは退職したのにアカウントが残っている元従業員などが該当します。

その人物ができてしまうのは、サイトの持ち主である管理者のメールアドレスを自分のものに書き換え、パスワードの再設定を使って管理者アカウントごと乗っ取ることです。本来、スタッフは予約の確認や顧客対応しかできないはずが、サイトの最高権限を握れてしまいます。

乗っ取られた側の被害は深刻です。予約サイトを運営する店舗やクリニックは、顧客の氏名・連絡先・予約履歴といった個人情報、決済サービスとの連携設定、サイトの中身そのものを一気に失う恐れがあります。予約した一般の利用者にとっても、自分の個人情報が第三者の手に渡り、偽の予約ページやフィッシング（本物を装った詐欺サイト）に誘導される二次被害につながりかねません。だからこそ、後述する更新作業を最優先で進める必要があります。

LatePointとは何か、「エージェント」とは誰か

LatePointは、WordPressで作ったサイトに「予約受付」の機能を後付けできるプラグイン（拡張ソフト）です。美容室・ネイルサロン・整体院・歯科・カウンセリング・士業の相談など、時間単位で予約を受ける業種で広く使われています。公式サイトによると2万1千以上の事業者が導入し、WordPress公式ディレクトリでの有効インストール数は10万件以上に達しています。

今回の話を理解する鍵が、LatePointの「役割（ロール）」の考え方です。LatePointには大きく分けて3種類の立場があります。予約する側の顧客（カスタマー）、施術やサービスを提供するスタッフ（エージェント）、そしてサイト全体を管理する管理者（アドミニストレーター）です。エージェントは美容師や施術者など「予約枠を持つ担当者」を指し、自分の予約状況の確認や担当顧客の管理はできますが、サイトの設定を変える権限は与えられていません。エージェントは管理者が発行する内部アカウントで、外部の第三者が勝手に取得できるものではありません。

つまり本来のLatePointは、「スタッフには予約業務だけをさせ、サイトの根幹はいじらせない」という前提で設計されています。今回の脆弱性は、その前提が崩れる欠陥でした。

何が起きるのか、脆弱性の中身

問題の中心にあるのは、顧客情報を作成・更新する内部処理（create_or_update()という関数）です。米国立標準技術研究所（NIST）の脆弱性データベースの説明によると、ここに2つの不備が重なっていました。

1つ目は、いわゆる「参照先のなりすまし」（専門的にはIDOR、他人のデータを指す番号を渡すと本人確認せずに操作できてしまう欠陥）です。エージェントが顧客情報を更新する際、「どの顧客を書き換えるか」を指定する番号のチェックが甘く、自分の担当外はおろか、管理者アカウントに紐づいた顧客情報まで指定できてしまう状態でした。2つ目は、その操作の際に「あなたにその権限がありますか」という役割の確認が抜け落ちていた点です。

この2つが組み合わさると、攻撃の筋道はこうなります。まずエージェント権限で、管理者アカウントに登録されているメールアドレスを、自分が管理するアドレスに書き換えます。次に、パスワードを忘れたときの「再設定」機能を使えば、再設定用のリンクは書き換え済みの自分のアドレスに届きます。あとは新しいパスワードを設定してログインするだけで、役割の確認を通らないまま管理者としてサイトに入れてしまう——というわけです。メールアドレスの書き換えを起点に管理者を乗っ取る手口は、少し前に報じたWordPress向けプラグイン「Kirki」の乗っ取り事例とよく似た構図です。

WordPressの管理者権限を奪われると、投稿やページの改ざん、不正なアカウントの追加、悪意あるコードの埋め込み、サーバー内のファイル操作まで、事実上なんでもできる状態になります。低い権限から管理者を奪う攻撃の危うさは、会員管理プラグイン「Ultimate Member」の管理者乗っ取り脆弱性や、編集者権限から任意のコードを実行できた「WPCode」の脆弱性でも繰り返し問題になってきました。

どれくらい危険なのか、条件を正しく読む

危険度を示すCVSSスコアは8.8で、「高」に分類されます。乗っ取りが成功すれば被害は最大級ですが、数字だけで慌てる前に前提条件を正確に押さえておきましょう。

この脆弱性を突くには、あらかじめエージェント（スタッフ）のログイン情報が必要です。危険度の内訳を見ても「必要な権限：低（ただしログイン済み）」となっており、ログインなしで外部から一発で乗っ取れるタイプではありません。この点を「無認証で誰でも乗っ取り可能」と書いている解説を見かけたら、それは正確ではありません。

ただし「ログインが必要だから安全」とは言えません。現実には、スタッフ本人による内部犯行、退職者の残存アカウント、業務委託先アカウントの管理不備、そしてフィッシングでスタッフのログイン情報を盗む手口など、エージェント権限が第三者の手に渡る経路はいくらでもあります。スタッフを多く抱える店舗チェーンや、外部スタッフに予約管理を任せている事業者ほど、リスクは現実的です。過去の同種脆弱性の解説でも、内部スタッフや外部委託の担当者が主な想定攻撃者として挙げられています。

自分のサイトは危ないか、バージョン別の早見表

まずは管理画面の「プラグイン」一覧でLatePointのバージョンを確認してください。以下の早見表で、自分のサイトの状況を判断できます。

スタッフを登録していない、運営者ひとりだけのサイトなら、CVE-2026-13228に関しては「エージェント」役の入口がないぶん切迫度が下がります。ただし記事公開後に公表されたCVE-2026-57714（後述）はログインなしで成立するため、スタッフの有無に関係なく5.6.3以前は危険です。5.6.4以降であればどちらも塞がっていますが、そこで止めず最新版まで上げてください。

技術者の視点、LatePointは同じ穴を何度も塞いでいる

数字で見ると、反復の度合いがはっきりします。NVD（米国の脆弱性データベース）でLatePointを検索すると、通算35件が登録されています（2026年8月7日時点）。うち23件が2026年に入ってからのもので、月別では2月3件、3月4件、4月3件、5月4件、6月3件、7月5件、8月1件。7か月連続で、毎月出続けています。

さらに、公式の更新履歴を直接読むとCVE番号が付いていないセキュリティ修正も見つかります。5.6.3（6月24日）、5.6.4（6月30日）、5.6.7（7月6日）、5.6.8（7月9日）、そして5.6.10（8月3日）。6月下旬からの8回のリリースのうち、5回にセキュリティ修正が入っています。報告者にはWordfence、Patchstack、個人の研究者の名前が並びます。

つまりこのプラグインは、CVE番号を追いかけているだけでは追いつけません。番号が付かないまま直された分が、確実に存在するからです。結論は単純で、出たら上げる。それ以外に確実な方法がありません。

ここが今回いちばん伝えたい点です。CVE-2026-13228は単発の事故ではありません。LatePointは「スタッフ権限から管理者を奪える」という同系統の脆弱性を、ここ数か月で繰り返し修正し続けています。時系列で並べると、その反復ぶりがはっきり見えます。

同じ「スタッフから管理者への権限昇格」が、版を変えて何度も見つかっているのがわかります。なぜこうなるのか。エンジニアの目で見ると、これは個々のバグというより権限設計そのものの弱さを示しています。LatePointは、WordPress本体の利用者アカウントとは別に、独自の「顧客」「エージェント」という利用者の仕組みを持っています。この独自の仕組みとWordPress本体のアカウントを結びつける処理のどこかで、「この操作をする権限が本当にあるか」の確認が抜けやすい構造になっているのです。

操作の入口（メールアドレスの更新、顧客と利用者アカウントの紐づけ、パスワード再設定など）が複数あり、そのたびに権限チェックを一つひとつ正しく書かないといけません。1か所塞いでも別の入口が残る——だから同系統の脆弱性が繰り返し表面化する。これは特定のプラグインに限らず、「独自の権限体系を後付けで実装した拡張ソフト」が共通して抱えやすい弱点です。6月には複数の人気WordPressプラグインで脆弱性が相次いで公開されており、拡張ソフトを増やすほど攻撃の入口も増えるという構図は共通しています。

実務的な教訓は明確です。常習的に同系統の脆弱性が出るプラグインは、単に最新版へ更新するだけでなく、自動更新を有効にしておくべきです。次のCVEが出るのは時間の問題、という前提で運用するのが現実的です。

記事公開後に公表された4件のCVE

初版を公開した7月1日から4週間のあいだに、LatePointではさらに4件のCVEが公表されました。公表されたのは記事のあとですが、対象となる版はいずれも5.6.3以前で、修正は5.6.4までに完了しています。5.6.4へ上げた読者にとって、この4件に対する追加の作業はありません。

最後のCVE-2026-57714は、危険度9.3（緊急）と評価されました。本記事の主題であるCVE-2026-13228（8.8）を上回り、しかもログインが一切要りません。データベースへの問い合わせ文に外部から手を加えられる欠陥（SQLインジェクション）で、応答の違いを手がかりに中身を1文字ずつ推測する「ブラインド」型です。時間はかかりますが、顧客の氏名・連絡先・予約履歴からWordPress利用者のパスワードのハッシュまで、格納されている情報を外部から引き出せる可能性があります。5.6.3以前を放置しているサイトにとっては、スタッフ権限が要るCVE-2026-13228より現実的な脅威です。

1つのプラグインで1か月に5件。CVE-2026-13228を含めると、7月のLatePointはこの頻度でCVEが公表され、さらにCVE番号の付かないセキュリティ修正が5.6.7と5.6.8で2回入りました。裏を返せば、WordfenceとPatchstackの調査員がこのプラグインを重点的に調べており、開発元も報告を受けて速やかに直しているということでもあります。ただし使う側から見れば、月に何度も更新の判断を迫られる状態が続いています。予約管理を業務の中核に据えているなら、自動更新を有効にして追随し続けるか、別の予約プラグインへ移すかを、そろそろ天秤にかける段階です。更新をたまにしか見ない運用のままLatePointを使い続ける選択肢は、現状では取りづらくなっています。

悪用は確認されているのか

現時点で、この脆弱性が実際の攻撃に使われたという報告は確認されていません。米政府のサイバーセキュリティ機関CISAが公開する「実際に攻撃されている脆弱性リスト（KEV）」にも、CVE-2026-13228は登録されていません。2026年7月29日にあらためて確認しましたが、状況は変わっていません。WordfenceとPatchstackのいずれからも、LatePointを狙ったスキャンの増加や侵害事例の報告は出ておらず、危険度9.3のCVE-2026-57714についても同じです。

ただし、脆弱性の詳細と修正内容は公式の更新履歴で公開されており、修正前後のコードを比較すれば攻撃手法を再現することは難しくありません。修正版が出た直後は、その差分を分析した攻撃が始まりやすい時期でもあります。「まだ攻撃されていない」ことは「更新しなくてよい」理由にはなりません。

いま何をすべきか

最優先は、LatePointを最新版の5.6.9（またはそれ以降）へ更新することです。WordPressの管理画面から「プラグイン」を開き、LatePointに更新の通知が出ていれば、その場で更新できます。開発元によれば5.6.4はセキュリティ調査会社WordfenceとPatchstackからの報告を受けて修正されたもので、その後の5.6.7と5.6.8も同じくセキュリティ修正です。5.6.4で止まっているサイトは、まだ2回分の修正を取りこぼしています。

更新に加えて、この機会に次の点も見直しておくと安全です。まず、不要になったエージェント（スタッフ）アカウントの削除です。退職者や契約終了した業務委託先のアカウントが残っていないか確認してください。次に、スタッフアカウントのパスワード強化と、二段階認証の導入です。エージェント権限が盗まれなければ、この脆弱性の入口はふさがります。さらに、管理者アカウントに登録したメールアドレスに、身に覚えのない変更や再設定の通知が届いていないかも確認しておきましょう。もし不審な兆候があれば、パスワードの再設定とログイン履歴の確認を行ってください。

まとめ

CVE-2026-13228は、予約受付プラグインLatePointのスタッフ用アカウントから、サイトの管理者権限を丸ごと奪える脆弱性です。危険度はCVSS 8.8と高い一方で、悪用にはあらかじめスタッフ権限が必要という前提があります。外部から誰でも一発で、というタイプではありませんが、内部犯行や盗まれたスタッフアカウント経由で現実に成立し得ます。

見逃せないのは、LatePointが同系統の権限昇格を繰り返し修正してきた点です。記事公開後の4週間だけでもCVEが4件加わり、うちCVE-2026-57714は危険度9.3、ログイン不要のSQLインジェクションでした。単発の問題として更新して終わりにするのではなく、自動更新を有効にし、不要なスタッフアカウントを整理する運用へ切り替えることをおすすめします。10万を超える店舗やクリニックの予約サイトが対象です。まずは自分のサイトのLatePointが5.6.10以降になっているか、今すぐ確認してください。

参照元

• ▸NVD - CVE-2026-13228 Detail（米国立標準技術研究所）
• ▸NVD - CVE-2026-57714 Detail（危険度9.3・ログイン不要のSQLインジェクション）
• ▸LatePoint - WordPress公式プラグインページ（更新履歴・最新版5.6.10を2026年8月7日に確認）
• ▸Patchstack - LatePointの脆弱性データベース
• ▸LatePoint 公式サイト
• ▸SentinelOne - CVE-2026-1566（過去の同種脆弱性・エージェント権限の解説）
• ▸Freshy - LatePoint CVE-2026-6741 Security Bulletin
• ▸CIRCL - CVE-2026-8176（LatePoint 5.5.1以前の権限昇格）