WordPressプラグイン8件に脆弱性、ログイン不要で乗っ取り CVE-2026-14545

2026年7月28日、WordPressの拡張機能（プラグイン）8件の脆弱性が一斉に公表されました。このうち3件はログインしていない攻撃者でも悪用できるタイプで、最も危険な1件は、予約受付プラグイン「TrueBooker」で管理者のパスワードを勝手に書き換えられるというものです。書き換えられれば、そのサイトは丸ごと他人のものになります。

対象は、予約受付のTrueBooker、表作成のTablesome、デモ読み込み・バックアップのDemi、チャットのBetter Messages、問い合わせ内容を保存するDatabase for Contact Form 7、通販のFluentCart、チケット販売のEvent Tickets and Registration、アンケート作成のQuiz and Survey Masterの8つ。導入数は合計で20万サイトを超えます。

先に結論を書くと、8件すべてに修正版がすでに出ています。まだ攻撃に使われたという報告はなく、危険度もばらつきがあります。ただし、自動更新を切っているサイトは取り残されたままです。ここでは「自分のサイトは対象か」「どれから直せばいいのか」を、危険度ではなくログインが要るか要らないかの順に並べて整理します。WordPressの拡張機能の脆弱性は毎週のように出ており、直近でも7月23日に4件、7月16日に管理者乗っ取りの3件が公表されたばかりです。

8件で何が起きたのか

今回の8件は、危険度の高い順に並べるより、攻撃者にログインが必要かどうかで分けたほうが対処の順番を決めやすくなります。ログインが要らないものは、インターネットにつながっているだけで外から直接狙われます。一方、管理者や編集者の権限が前提のものは、そもそも身内か、すでに何らかの形で権限を奪われた後でないと成立しません。

ログイン不要は3件です。TrueBookerは他人のパスワードを書き換えられ、Tablesomeは記事やページを勝手に作り替えられ、Demiはサーバー上のフォルダを丸ごと消されます。残る5件は、管理者・編集者・会員といった何らかのアカウントを持っている相手が悪さをするタイプで、被害の届く範囲は限られます。

8件はいずれもWordPress本体ではなく拡張機能側の問題です。つまり、これらを入れていないサイトには影響がありません。まずは管理画面の「プラグイン」一覧を開き、該当する名前があるか、あるならバージョンはいくつかを確かめるところから始めてください。なおWordPress本体側にも7月に別の重大な脆弱性が出ており、そちらはWordPress本体の脆弱性まとめで扱っています。

対象プラグインと対処の早見表

自分のサイトが対象かを一目で判断できるよう、8件を並べました。「影響を受ける版」に当てはまるなら、右の「安全な版」以上へ更新してください。導入数はWordPress.orgが公開している概数です。

危険度の数値は、脆弱性の深刻さを10点満点で表す共通のものさしCVSSによるものです。9.0以上が最上位の「緊急」、7.0以上が「重要」に区分され、今回はTrueBookerの1件だけが緊急、続く4件が重要にあたります。残る3件は中〜低で、ただちに慌てる数字ではありません。

「ログイン」の列は、攻撃者に必要な権限です。「不要」は誰でも外から狙えるという意味で、ここが実質的な優先順位になります。逆に「管理者」と書かれたものは、すでに管理者を名乗れる相手にしか使えないため、危険度の数字ほど急ぎではありません。

誰が、何のために狙うのか

この手の欠陥に最初に手を出すのは、特定の誰かを恨んでいる相手ではありません。世界中のサイトを機械的に巡回して、公表されたばかりの弱い拡張機能が入っている場所を片っ端から探す業者です。脆弱性の中身が公開された時点で、その内容をそのまま自動巡回の条件に組み込めるため、公表から数日で「入っているサイトの一覧」が出来上がります。彼らにとって、対象が600サイトか9万サイトかはあまり関係がありません。

見つけた後にやることは、管理者になりすまして、そのサイトを別の商売の道具に作り替えることです。今回でいえば、TrueBookerなら管理者のパスワードを自分の知っているものに差し替えて正面から入り、Tablesomeなら既存のページの中身を上書きして、検索から来た訪問者を別のサイトへ飛ばす仕掛けを埋め込みます。乗っ取ったサイトはそのまま売られたり、詐欺サイトへの誘導路として貸し出されたりします。

困るのは、これがサイトの持ち主だけの損では終わらない点です。訪問者は偽のログイン画面や決済画面を本物だと思って情報を入力しますし、通販を動かしていれば会員の住所や購入履歴がそのまま流れます。Demiのように「フォルダごと消せる」タイプに至っては、金銭目的ですらなく、バックアップごとサイトが消えて戻せなくなります。パスワード再設定の仕組みを突かれる形は、5月に50万サイトが対象となったKirkiの管理者乗っ取りと同じ系統で、あのときは公表後に実際の悪用が確認されています。

ログイン不要の3件を先に直す

外から直接狙われる3件です。この3つのどれかを使っているなら、他の作業より先に更新してください。

CVE-2026-14545：予約受付「TrueBooker」で他人のパスワードを書き換えられる

TrueBookerは、美容室や教室、士業などがサイト上で予約を受け付けるための拡張機能です。今回の欠陥（CVE-2026-14545）は、サイトの表側に置かれたアカウント操作の受け口が、「パスワードを変えようとしている人が、本当にそのアカウントの持ち主か」を確認していないというものです。

通常、パスワードの再設定は「登録アドレスに届いた一度きりのリンクを踏んだ人だけが変えられる」という作りで持ち主を確かめます。TrueBookerの該当処理はこの確認が抜けており、ログインしていない相手が、対象のアカウント名を指定して新しいパスワードを直接設定できてしまいます。管理者アカウントも例外ではありません。設定された側は、自分のパスワードで入れなくなって初めて異常に気づくことになります。危険度は最上位のCVSS 9.8です。

影響を受けるのは1.2.4より前で、1.2.4以降（現在の最新は1.2.6）へ更新すれば解消します。詳細はWPScanの報告にまとまっています。なおTrueBookerは、6月2日にもログイン不要で権限を越えられる別の欠陥（CVE-2026-48881、CVSS 9.1）が公表されたばかりで、2か月で2度目です。導入数は600以上と多くはありませんが、権限まわりの作りに繰り返し穴が出ている拡張機能であることは頭に入れておいたほうがよさそうです。

CVE-2026-14924：表作成「Tablesome」で記事やページを勝手に上書きされる

Tablesomeは、問い合わせフォームの送信内容を表として保存したり、記事に表を差し込んだりする拡張機能です。今回の欠陥（CVE-2026-14924）は、ブラウザが裏側でサーバーとやりとりする窓口（AJAXという仕組みの受け口）のひとつに、ログイン確認も、権限確認も、正規の操作かを見分ける合言葉（nonce）の確認も、どれも入っていなかったというものです。

その結果、ログインしていない相手が、新しい記事を公開状態で作れるうえに、すでに公開されている記事やページの中身を指定して上書きできます。会社概要や料金ページの中身を差し替えられれば、検索から来た人はそれを本物として読みます。管理者権限を奪われたわけではないので、サイト側の異変にも気づきにくいのが厄介なところです。危険度はCVSS 7.5です。

影響を受けるのは1.1.31より前で、1.1.31以降（現在の最新は1.2.9）なら安全です。この修正版自体はかなり前に配布されているため、自動更新を有効にしているサイトはすでに対処済みのはずです。危ないのは、更新を止めたまま古い版で動かし続けているサイトで、今回の公表によって「どこを叩けばいいか」が公開情報になった形になります。WPScanの報告もあわせて確認してください。

CVE-2026-14490：バックアップ拡張「Demi」でフォルダを丸ごと消される

Demiは、デモ用のサイト構成を一括で読み込んだり、バックアップやサーバー移転を行ったりする拡張機能です。今回の欠陥（CVE-2026-14490）は、本来隠しておくべき署名用の鍵を、外から読めるフォルダに置いていたことが出発点です。

この拡張機能は、復元処理の途中経過をやりとりする際、「正規の手続きから来た指示か」を署名で確かめる作りになっています。ところがその署名の鍵が、画像などをアップロードする公開フォルダの中に、先頭がドットのファイルとして置かれていました。アクセスを遮る設定も入っていません。鍵を拾った相手は正規の署名を自分で作れるようになり、しかも復元処理の受け口はログイン不要で開いています。仕上げに、削除するフォルダの場所に制限がかかっていないため、サーバー上の任意のフォルダを中身ごと再帰的に消せます。危険度はCVSS 7.5です。

影響を受けるのは0.0.7以下です。0.0.8で一時フォルダへのアクセス遮断が入りましたが、配布元の更新履歴を読むと、鍵を公開領域の外へ移し、ログイン不要の入り口をふさぎ、パスの検査を厳しくする本格的な修正が入ったのは0.0.9です。使っているなら0.0.9まで上げてください。導入数は300以上と小規模ですが、消される対象がサイト本体とバックアップである以上、当たったときの損失はこの一覧で最も大きくなり得ます。

残る5件はどんな脆弱性か

ここからは、悪用に何らかのアカウントが必要な5件です。危険度の数字は高いものもありますが、実際に届く範囲は前の3件より狭くなります。自分が使っているものだけ読んでも構いません。

CVE-2026-16585：チャット「Better Messages」で設定ファイルを消されサーバーを奪われる

Better Messagesは、会員同士のチャットやグループ会話をサイトに追加する拡張機能です。今回の欠陥（CVE-2026-16585）は、チャットで使うスタンプ（ステッカー）の削除処理で、消してよい場所の検査が甘かったというものです。

検査は「アップロード用フォルダのURLで始まっていればよい」という前方一致でした。そのためURLの先頭は正規のまま、途中に一つ上の階層へ戻る記号（../）を紛れ込ませると、検査をすり抜けます。URLを整形する処理が使っていた関数はこの記号を取り除かないため、そのまま保存されて実行されます。行き着く先は、WordPressの接続情報を持つwp-config.phpの削除です。この1ファイルが消えるとWordPressは初期設定の画面に戻り、攻撃者が自分のデータベースをつないで乗っ取れる状態になります。危険度はCVSS 7.2です。

ただし悪用には管理者権限が必要で、外から直接狙えるものではありません。影響を受けるのは2.15.19以下で、2.15.20で修正されています。修正の中身は配布元のソース変更履歴で確認できます。更新履歴には修正が明記されていないため、番号だけを見て「関係ない更新」と判断しないよう注意してください。報告はWordfenceによるものです。

CVE-2026-14870：問い合わせ保存「Database for Contact Form 7」で管理者が罠のリンクを踏むと乗っ取られる

これは、Contact Form 7やWPForms、Elementorのフォームに届いた内容をサイト内に保存しておく拡張機能で、導入数は6万以上あります。今回の欠陥（CVE-2026-14870）は、管理画面が受け取った値をそのまま画面に出し戻していたことによる、いわゆる反射型のスクリプト実行です。

攻撃者は、細工した値を仕込んだ管理画面のURLを用意し、それを管理者に踏ませます。踏んだ瞬間、管理者のブラウザ上で攻撃者の書いたプログラムが動き、その権限で新しい管理者を追加するといった操作が実行されます。攻撃者自身にログインは要りませんが、管理者を騙してリンクを開かせる一手間が必要という点で、外から自動で刈り取れる3件とは性質が違います。危険度はCVSS 7.1です。影響を受けるのは1.5.3より前で、後述の理由から1.5.5まで上げるのが確実です。

CVE-2026-14926：通販「FluentCart」で他人の定期購入を勝手に操作される

FluentCartは、WordPressに通販機能を追加する比較的新しい拡張機能で、定期購入（サブスクリプション）にも対応しています。今回の欠陥（CVE-2026-14926）は、支払い方法まわりの複数の窓口が、その契約が本当に操作しようとしている本人のものかを確かめていなかったというものです。

同じサイトに会員登録している人であれば、他人の契約の識別番号を知りさえすれば、その契約の支払い方法を変えたり、解約して別の条件で結び直したりできます。契約番号は連番になっていることが多く、順番に試せば当たる可能性があります。金銭に直結する反面、悪用には会員登録が必要で、対象を狙い撃ちにする形になるため、危険度はCVSS 4.2にとどまります。影響を受けるのは1.4.0より前で、こちらも1.5.3以降（最新は1.5.5）まで上げるのが確実です。

CVE-2026-14819：チケット販売「Event Tickets」で編集者が上位権限者を狙える

Event Tickets and Registrationは、イベントの申込受付やチケット販売を担う拡張機能で、導入数は9万以上と今回の中では最大です。同じ開発元のイベントカレンダー系プラグインは、7月にも別の情報流出の脆弱性が公表されています。

今回の欠陥（CVE-2026-14819）は、イベント名をチケットの操作履歴に出力する際の処理が甘く、名前に仕込んだプログラムがそのまま保存・実行されるというものです。ただし成立には編集者以上の権限が必要で、しかも複数サイトをまとめて運用するマルチサイト構成に限られます。導入数は多いものの、条件を満たすサイトはかなり絞られ、危険度もCVSS 3.5と低い部類です。5.28.4より前が対象で、現在の最新は5.29.1です。

CVE-2026-14821：アンケート作成「Quiz and Survey Master」で寄稿者にひな形を消される

Quiz and Survey Masterは、アンケートやクイズを作る定番の拡張機能で、導入数は4万以上です。今回の欠陥（CVE-2026-14821）は、結果表示のひな形（テンプレート）を削除する処理に権限の確認が入っておらず、寄稿者程度の低い権限でも、ひな形を勝手に消せるというものです。

消されて困るのは表示の設定であって、会員情報が漏れたりサーバーを乗っ取られたりするわけではありません。危険度もCVSS 2.7と、今回の8件で最も低くなっています。外部ライターに寄稿者アカウントを配っている運用なら、11.1.5以降（最新は11.2.2）へ上げておけば十分です。WPScanの一覧で過去の報告もまとめて確認できます。

「修正版に上げた」で終わらない拡張機能が3つある

今回の一覧を見て更新作業をするときに、ひとつ落とし穴があります。今回のCVEの修正版に上げただけでは、直近に公表された別の脆弱性が残る拡張機能が3つ混じっています。この記事の早見表で一部の「安全な版」を修正版より先の番号にしているのは、そのためです。

とくにFluentCartの後発の問題は、ログイン不要で注文者の個人情報が見えてしまうというもので、今回のCVE-2026-14926（会員が必要・4.2）より実害が出やすい内容です。通販を動かしているなら、1.4.0で止めずに1.5.3以降まで上げてください。

この「1件直したつもりが最新ではない」現象は珍しくありません。脆弱性の公表は、修正版が出てから数日〜数か月遅れて行われるのが普通で、その間に次の版が出ているからです。ですから、CVEに書かれた修正版の番号を追いかけるより、素直にその時点の最新版へ上げるほうが早くて確実です。同じ理由から、60万サイトが対象となったNinja Formsの件のときも、対象版だけを見て安心するのは危険だと書きました。

いま何をすればいいのか

やることはシンプルです。管理画面から、次の順で進めてください。

点検で見るべき場所は、脆弱性の種類によって違います。TrueBookerを使っていたなら「ユーザー」一覧に知らない管理者が増えていないか、そして自分のパスワードで問題なく入れるか。Tablesomeなら、会社概要や料金ページなど普段あまり開かない固定ページの中身が書き換わっていないか。この2つは管理者権限を奪われずに実行できるため、ログイン履歴だけを見ても異常が出ません。Demiを使っていたなら、バックアップの保存先が空になっていないかを先に確認してください。

今回の8件は、いずれも米政府CISAが公開している実際に攻撃が確認された脆弱性のリスト（KEV）には載っていません。つまり現時点で「もう狙われている」という段階ではありません。ただしKEVは攻撃が観測されて初めて載るもので、載ってからでは対応が後手に回ります。公表直後の今のうちに更新を終えておくのが、いちばん安く済む対処です。

日常の備えとしては、使っていない拡張機能を消し、残すものは自動更新を有効にしておくことに尽きます。「入れっぱなし」がいちばん危ないという話は、過去のWordPress拡張機能の脆弱性まとめでも繰り返し書いてきました。自作のテーマやカスタム開発で外部の部品を使っている場合は、依存パッケージをまとめて点検できるスキャナーもあわせて使うと、拡張機能の外側の抜けも拾えます。

まとめ

2026年7月28日に公表された8件のうち、急ぐのはログイン不要の3件です。予約受付のTrueBookerは管理者のパスワードを書き換えられ（CVSS 9.8）、表作成のTablesomeは公開中のページを上書きされ、バックアップのDemiはフォルダごと消されます。残る5件は管理者・編集者・会員といった権限が前提で、危険度の数字ほど急ぎではありません。導入数の大きいEvent Ticketsやアンケート作成のQuiz and Survey Masterは、いずれも条件が限られる低い危険度でした。

8件すべてに修正版は出ています。作業自体は管理画面から数分で終わるものです。ひとつだけ気をつけたいのは、Database for Contact Form 7・FluentCart・Event Ticketsの3つで、今回の修正版に上げただけでは別の新しい欠陥が残る点です。番号を細かく合わせにいくより、その時点の最新版へ上げてしまうほうが確実に安全です。実際の攻撃やCISAのリストへの掲載が確認された場合は、この記事に追記します。

参照元

• ▸ NVD - CVE-2026-14545（TrueBooker）
• ▸ NVD - CVE-2026-14924（Tablesome Table）
• ▸ NVD - CVE-2026-14490（Demi）
• ▸ NVD - CVE-2026-16585（Better Messages）
• ▸ NVD - CVE-2026-14870（Database for Contact Form 7）
• ▸ NVD - CVE-2026-14926（FluentCart）
• ▸ NVD - CVE-2026-14819（Event Tickets and Registration）
• ▸ NVD - CVE-2026-14821（Quiz and Survey Master）
• ▸ WPScan - TrueBooker < 1.2.4 Unauthenticated Arbitrary Password Reset
• ▸ WPScan - Tablesome Table < 1.1.31 Unauthenticated Post Creation/Overwrite
• ▸ Wordfence Intelligence - Better Messages <= 2.15.19 Arbitrary File Deletion
• ▸ WordPress.org Plugin Trac - Better Messages 修正差分（changeset 3623636）
• ▸ Patchstack - TrueBooker <= 1.1.9 Broken Access Control（CVE-2026-48881）
• ▸ WordPress.org - Demi プラグイン更新履歴
• ▸ Wordfence Intelligence - WordPressプラグイン脆弱性データベース