WordPressプラグイン4件に緊急の脆弱性、サイト乗っ取りの恐れ

2026年7月23日、WordPressの拡張機能（プラグイン）4件に、サイトを乗っ取られる恐れのある重大な脆弱性が公表されました。このうち3件は、危険度が10段階中9.8という最高ランク（緊急）で、しかもログインしていない攻撃者でも悪用できる可能性があります。

対象は、動画などのメディアを管理する「GoDAM」、問い合わせを受け付ける「Customer Support Ticket System & Helpdesk」、WordPressをAIとつなぐ「MountDev AI MCP Connector」、DJ・イベント運営を管理する「MDJM Event Management」の4つです。用途はばらばらですが、「本来は許されないはずの操作でサイトを支配される」という危険の中身は共通しています。

結論から言うと、対策はいずれも「各プラグインを最新版へ更新する」ことに尽きます。今のところ実際に攻撃された報告はありませんが、内容が公開された以上、更新は早いほど安全です。何が起きるのか、自分のサイトは対象か、どう直すのかを順に説明します。WordPressプラグインの脆弱性は毎週のように出ており、少し前にも7月16日に管理者乗っ取りの3件が公表されたばかりです。

4件で何が起きたのか

今回の4件は、大きく2つのタイプに分かれます。ひとつは、ログインしていない攻撃者が外から直接攻撃できるタイプ（GoDAM・サポートチケット・AI連携の3件）。もうひとつは、サイトに低い権限で登録した利用者が、自分の権限を管理者へ勝手に格上げできてしまうタイプ（MDJM）です。

攻撃の入り口は違っても、たどり着く先は同じで、「サイトの持ち主と同じ力」を握られることです。管理者権限を奪われたり、サーバー上でプログラムを実行されたりすると、記事の改ざんや偽ページの設置、会員情報の抜き取り、別の不正プログラムの埋め込みまで、事実上なんでもできてしまいます。だからこそ、3件には最高ランクの9.8という危険度がついています。

4件はいずれもWordPressのプラグイン（拡張機能）の問題で、WordPress本体の欠陥ではありません。つまり、これらのプラグインを入れていないサイトは影響を受けません。まずは自分のサイトに該当プラグインがあるか、あるならバージョンはいくつかを確認するのが出発点になります。導入数が数百規模の比較的小さなプラグインもありますが、「使っているなら対象」という点は変わりません。

対象プラグインと対処の早見表

自分のサイトが対象かどうかを一目で判断できるよう、4件を並べました。「影響を受ける版」に当てはまるなら、すぐ右の「修正版」へ更新してください。

危険度の数値は、共通の物差しであるCVSS（脆弱性の深刻度を10点満点で表す指標）によるものです。9.0以上は最上位の「緊急（Critical）」に区分され、今回の3件がここに当てはまります。残る1件も8.8と「重要（High）」の高い水準で、後回しにしてよい数字ではありません。

誰が、何のために狙うのか

今回の脆弱性を悪用するのは、インターネット上のWordPressサイトを機械的に探し回り、対象のプラグインが入った入り口を見つける攻撃者です。3件はログインすら不要で、公開されているページに攻撃用のデータを送りつけるだけで成立します。残る1件も、会員登録を受け付けているサイトなら、誰でも低い権限のアカウントを作って足がかりにできます。

その相手が行うのは、不正なファイルやコードを送り込んでサーバー上でプログラムを実行したり、管理者になりすましてサイトを丸ごと支配したりすることです。GoDAMやサポートチケットでは外部から直接コードを実行され、AI連携プラグインでは管理者に紐づくアクセス用の鍵（トークン）を奪われ、MDJMでは低い権限のアカウントが管理者へ格上げされます。

管理者権限やサーバーの制御まで到達されると、被害はサイト運営者だけの問題では終わりません。訪問者に偽のログイン画面や決済ページを見せて情報を盗んだり、サイトを踏み台にして別の攻撃をしかけたりと、そのサイトを訪れる一般の利用者にも被害が及びます。過去には、ログイン連携プラグインの穴を突かれたminiOrange系プラグインの乗っ取り事例のように、権限まわりの欠陥が集中的に狙われた例もあります。

4件の脆弱性の詳細

それぞれの中身を、技術的な背景も交えて個別に見ていきます。自分が使っているプラグインの項目だけ読んでも問題ありません。

CVE-2026-14282：GoDAM（動画・メディア管理）で認証不要のファイルアップロード

GoDAMは、動画などのメディア資産をWordPress上で管理・配信するプラグインで、開発元は著名なWordPress開発会社のrtCampです。今回の欠陥（CVE-2026-14282）は、ファイルを保存する内部処理（save_video_file()）で、ファイルの種類の確認が不十分だったことに起因します。

この処理は、利用者が申告する「ファイル形式（Content-Type）」の情報をそのまま信用し、WordPress標準の安全チェックを迂回して、Webから直接開けるフォルダにファイルを置いてしまいます。その結果、ログインしていない攻撃者が不正なプログラムファイルをアップロードでき、最終的にサーバー上で任意のコードを実行される恐れがあります。影響を受けるのは1.12.2以下で、最新版（現在は2.0.0系）へ更新すれば解消します。危険度はCVSS 9.8です。

CVE-2026-15011：Customer Support Ticket System & Helpdesk（問い合わせ受付）でコード実行

これは、サイトへの問い合わせをチケットとして管理するサポート受付プラグイン（emarket-design製）です。今回の欠陥（CVE-2026-15011）は、pathという項目を通じて、ログインしていない攻撃者が引数のない任意のPHP関数を呼び出せてしまうというものです。

通常、この種の操作には「本当に正規の操作か」を確かめるワンタイムの合言葉（nonce）が必要です。ところがこのプラグインでは、問い合わせフォーム（[emd_form]ショートコード）を表示するたびに、そのnonceが公開ページ側に出力されてしまいます。つまり攻撃者はログインせずに合言葉を手に入れられ、チェックが実質的に無力化されます。影響を受けるのは6.0.5以下で、6.0.6で修正されました（ファイル削除処理の関数呼び出しの穴をふさぐ更新）。危険度はCVSS 9.8です。

CVE-2026-15015：MountDev AI MCP Connector（WordPressとAIの連携）で管理者トークンを奪取

MountDev AI MCP Connectorは、WordPressをChatGPTやClaudeといったAIエージェントとつなぐための連携プラグインです。橋渡しに使われているのがMCP（Model Context Protocol）という、AIが外部のサービスを操作するための共通の仕組みです。今回の欠陥（CVE-2026-15015）は、「本当に許可された操作か」を確かめる認可の仕組みが抜けていたことに起因します。

具体的には、誰でもアクセスできる「クライアント自己登録（Dynamic Client Registration）」の窓口と、保護されていない認可の窓口が組み合わさっており、ログインしていない攻撃者が自分で登録したクライアント経由で、管理者に紐づくアクセス用の鍵（OAuthのアクセストークン）を手に入れられます。これを使えば管理者と同等の操作が可能になります。AIとの連携が急速に広がるなかで、MCPの認可設計の甘さが突かれた新しいタイプの事例で、同じくAI連携基盤で認可の抜けが問題になったMCP関連ツールの脆弱性と同じ系統の弱点です。影響を受けるのは1.6.1以下で、開発元が公開する最新版へ更新してください。危険度はCVSS 9.8です。

CVE-2026-15017：MDJM Event Management（DJ・イベント運営）で会員から管理者へ昇格

MDJM Event Managementは、DJやイベント運営者向けに、予約や進行、見積もりなどを管理するプラグインです。今回の欠陥（CVE-2026-15017）は、操作の権限（capability）の確認と、正規の操作かを確かめるnonceの検証が抜けており、さらに「役割（ロール）」を割り当てるパラメータの検証も不十分だったことが原因です。

その結果、購読者のような低い権限で登録した利用者が、リクエストに偽の役割の値を紛れ込ませるだけで、自分を管理者へ格上げできてしまいます。会員登録を開放しているサイトでは、誰でもこの入り口に手が届くことになります。影響を受けるのは1.7.8.4以下で、開発元の最新版へ更新してください。危険度はCVSS 8.8です。MDJMは過去にも別の欠陥が報告されており、日ごろから最新版を保つ運用が特に大切なプラグインです。

いま何をすればいいのか

やることはシンプルです。WordPressの管理画面から、次の順で確認・対応してください。

とくにログイン不要で悪用できる3件（GoDAM・サポートチケット・AI連携）は、対象プラグインが入っていれば外部から直接狙われるため、優先して更新してください。更新後は、管理者一覧に見覚えのないアカウントが追加されていないか、公開フォルダに不審なファイルが置かれていないかを確認しておくと安心です。もし不審な形跡が見つかった場合は、パスワードの一斉変更とバックアップからの復旧を検討します。

日常的な備えとしては、使っていないプラグインを削除し、残すものは自動更新を有効にしておくのが有効です。プラグインの棚卸しについては、過去のWordPressプラグイン脆弱性まとめでも繰り返し触れてきたとおり、「入れっぱなし」が最大のリスクになりがちです。

まとめ

2026年7月23日に公表された4件は、用途こそ違え「サイトを支配される」という危険で共通しています。3件はログイン不要で悪用でき、危険度も最高ランクの9.8です。導入規模が数百程度の小さなプラグインも含まれますが、「使っているなら対象」という点は変わりません。とりわけAIとWordPressをつなぐMCP連携の脆弱性は、AI活用が広がるこれからのサイト運営で気をつけたい新しい論点です。

やるべきことは「該当プラグインを最新版へ更新する」だけで、難しい作業はありません。ログイン不要で狙われる3件から優先的に対応し、更新後に管理者アカウントとファイルの点検までを一区切りとするのがおすすめです。新しい情報や実際の攻撃が確認された場合は、この記事に追記していきます。

参照元

• ▸ NVD - CVE-2026-14282（GoDAM）
• ▸ NVD - CVE-2026-15011（Customer Support Ticket System & Helpdesk）
• ▸ NVD - CVE-2026-15015（MountDev AI MCP Connector）
• ▸ NVD - CVE-2026-15017（MDJM Event Management）
• ▸ WordPress.org - GoDAM プラグインページ
• ▸ WordPress.org - Customer Support Ticket System & Helpdesk プラグインページ
• ▸ Wordfence Intelligence - WordPress脆弱性データベース