WordPress脆弱性27件、6件は配布停止で修正版なし CVE-2026-16261

2026年8月2日、WordPressの拡張機能（プラグイン）と着せ替えテーマ、あわせて27件分の脆弱性が一度に公表されました。すべてWPScanというWordPress専門のセキュリティ調査チームが管理番号（CVE）を割り当てたもので、同日の日本時間15時ごろ、米国政府の脆弱性データベースNVDへまとめて登録されました。

27件のうち、危険度を示すCVSSスコアが10点満点中9.8（緊急）と評価されたものが3件あります。パスワードを知らない相手が、いきなりサイトの管理者になれてしまう種類の穴です。なお同じ日には、別の調査チームが公表した「Appleでサインイン」の偽造で管理者を乗っ取られる3件も登録されており、そちらとは別の並びです。

ただ、今回いちばん厄介なのは点数の高さではありません。27件のうち6件は、修正版が出ていません。そして調べてみると、その6件はすべて、WordPress公式の配布サイトから配布を止められた拡張機能でした。最も古いものは2018年に止められています。8年前に見捨てられたプログラムが、いまも動いているサイトに残っている。更新ボタンを押しても直らないので、外すしか手がありません。

今回まとめて公表された27件の全体像

まず数の内訳から見ておきます。27件は26種類の拡張機能と1種類のテーマに分かれており、そのうち「Event Booking Manager for WooCommerce」というイベント予約用の拡張だけは1本で3件を抱えています。

見出しの数字だけを取り上げて「27件の緊急脆弱性」と書くのは正確ではありません。19件は、投稿を書ける権限や会員として登録済みであることが前提で、外から誰でも試せるものではないからです。とはいえ、記事を投稿できる外部ライターを抱えるメディアや、会員登録を開放しているサイトでは、その前提はあっさり成立します。

もう1つ、日付として気に留めておきたいことがあります。WPScanは、攻撃の再現手順（PoC）の公開を報告から一定期間遅らせる運用をとっています。今回公表された27件のうち、再現手順が8月3日に公開予定のものが6件、8月4日が3件あります。つまり、この記事を読んでいる時点から数日で、手順が誰でも読める状態になります。

なお、この記事に載せているCVSSスコアは、すべてWPScanが付けた値です。NVD側は27件とも「解析待ち」の状態で、8月2日時点では独自のスコアもCWE分類も付いていません。将来NVDの評価が出た際に、点数が動く可能性があります。

誰が狙い、何をされるのか

今回のように公表がまとまると、真っ先に動くのは公開された一覧をそのまま巡回プログラムに流し込み、当てはまるサイトだけを機械的に拾っていく攻撃者です。特定の会社を狙い撃つのではなく、対象の拡張機能を入れたまま止まっているサイトを、全世界から片端から集めていきます。狙われる側にとっては、知名度も規模も関係ありません。

拾い上げた後にやることは、穴の種類で分かれます。管理者になれる3件を引き当てた場合は、自分専用の管理者アカウントを裏口として置き、検索エンジン向けの隠しページを大量に埋め込んだり、決済の送金先を差し替えたりします。読み出し型の穴なら、狙いは会員名簿と連携用の鍵です。今回でいえば、予約管理の拡張から予約者一覧を丸ごと引き出せるもの、写真共有サービスとの連携用の鍵が外から読めるものが該当します。

被害はサイトの持ち主だけにとどまりません。歯科や美容室の予約フォームから抜かれるのは、そのお店ではなく予約した人の氏名・電話番号・来店日時です。会員として登録しただけの人も、乗っ取られたサイトから偽のログイン画面へ誘導されます。だからこそ、まず自分のサイトが対象かどうかの確認が最優先になります。

危険度9.8と評価された3件

「ログインしていない相手が管理者になれる」と評価された3件を、順に見ていきます。3件とも、報告者が別々でありながら、壊れている場所は本人確認の作りそのものという共通点があります。

CVE-2026-15206：SMSの認証済み印が、別人の番号にも通ってしまう（SMS Alert）

対象は「SMS Alert」という拡張機能です。ネットショップを作るWooCommerceと組み合わせて、注文通知のSMSを送ったり、携帯番号に届く6桁の確認コード（ワンタイムパスワード）で本人確認をしたりするために使われます。導入は約3,000サイトです。

問題は、確認コードの照合が済んだ後の扱いにありました。CVEの記載によれば、3.9.8より前の版は「この訪問者は携帯番号の確認が済んでいる」という印をブラウザの一時記録に立てるだけで、その印を「どの番号を確認したのか」と結び付けていませんでした。そのため、攻撃者が自分の携帯にコードを送らせて正しく入力し、確認済みの印を手に入れたうえで、次のログイン処理には他人の番号を送り付ける、という順番で通せます。

結果として、請求先の電話番号が登録されている利用者なら誰にでも、管理者を含めて成り代われます。窓口で本人確認を済ませた札を受け取り、その札を持ったまま別人の名前を名乗り直す、という状態です。報告したのはSai Praneeth Koti氏で、WPScanの掲載内容では危険度9.8とされています。修正版は3.9.8で、これは公式の配布サイトにも並んでいるため、管理画面の更新から数クリックで済みます。

この拡張については、2026年の早い時期にもパスワード再設定を悪用した権限昇格（CVE-2026-11387）が公表されており、そちらは再現用のコードがすでに一般公開されています。同じ拡張で本人確認まわりの不備が続いている点は、利用を続けるかどうかの判断材料になります。

CVE-2026-16261：パスワード再設定に合言葉の確認がなく、誰でも他人になれる（Huge IT Login）

2件目は、SNS連携ログインの追加に使われていた拡張機能です。名前の表記が資料によって割れていて、WPScanの掲載では「Huge IT Login」、公式配布サイト上の登録名は「Login」、内部の識別子は login-social です。対象は1.0.4以前で、これは同時にこの拡張の最終版でもあります。

壊れていたのは2箇所です。1つは、パスワード再設定の受け付けが再設定用の合言葉（リセットキー）も本人かどうかも確かめていなかったこと。通常、パスワードを忘れたときに届くメールのリンクには一度きりの長い文字列が入っており、それを持っている人だけが再設定できる仕組みになっています。その照合が丸ごと抜けていました。もう1つは、外部サービスから受け取ったログイン情報を検証せずに、そのままログイン状態を発行していたことです。

どちらか一方でも、誰でも管理者のパスワードを書き換えて入れることになります。過去に当サイトで扱ったKirkiのパスワード再設定を悪用した乗っ取りと同じ型の欠陥です。報告者はサウジアラビアの調査者Khaled Alenazi氏（Nxploited）で、この人は過去のWordPress関連の発見について再現用コードをGitHubで公開してきた経緯があります。

そして、この拡張に修正版は出ません。公式の配布サイトからは2018年2月7日に配布が止められています。理由として掲げられているのは「ガイドライン違反」で、最終更新は2017年6月です。9年間、誰も直していないコードということになります。

CVE-2026-16256：利用者の一括登録機能が、誰にでも開いていた（POUCO Import Users）

3件目の「POUCO Import Users」は、名簿ファイルから会員をまとめて登録するための拡張機能です。対象は1.0.0以前、こちらも最終版が対象です。

CVEの記載によると、アカウントを作る・書き換えるための内部の受け口が、権限の確認も使い捨ての合言葉（nonce）の確認もせずに、ログインしていない相手にまで開いていました。さらに、送られてきたデータの中の「役割」の指定をそのまま信用します。管理者と書いて送れば、管理者ができあがるということです。名簿を取り込むための裏口が、施錠されないまま外に面していたようなものです。

こちらも修正版はありません。公式の配布サイトからは2020年8月5日に「ガイドライン違反」で配布が止められており、最終更新は2019年2月です。報告者は2件目と同じKhaled Alenazi氏で、WPScanの評価は危険度9.8です。

修正版が出ない6件は、すべて配布が止められた拡張だった

今回の27件のうち、WPScanが「修正版なし」と明記しているのは6件です。この6件を1つずつ公式の配布サイトで確認したところ、6件とも配布が止められているか、一覧から消えていました。偶然ではなく、これが「修正版が出ない」ことの理由そのものです。

配布が止まっているのに、なぜ使い続けている人がいるのか。理由は単純で、すでにサイトに入っている拡張機能は、公式の配布が止まっても勝手には消えないからです。動きも止まりません。昨日まで正常に動いていたメニューやログインボタンは、今日も同じように動きます。

そして、いちばんの問題はここです。配布が止まった拡張機能には、管理画面に更新通知が出ません。更新の通知は「配布サイト側に新しい版があるか」を照会して表示されるもので、その拡張自体が一覧から消えていれば、照会先がありません。管理画面の「更新」欄はきれいなまま、何年でも古いコードが動き続けます。持ち主の目には「更新すべきものはない＝安全」と映ります。

配布停止の拡張が実際に攻撃の道具になった例もあります。WPScanは2024年12月、Hunk Companionという拡張の欠陥を突いて、すでに配布停止となっていた「WP Query Console」を外部から勝手にインストール・有効化し、その既知の欠陥から裏口を仕込む攻撃を報告しています。同社はその報告のなかで、配布停止のまま残る脆弱な拡張は「攻撃の重要な入口になる」と明言しました。今回の6件は、そのまま同じ位置にあります。

なお、6件のうちLenxel WPだけは拡張機能ではなくサイトの見た目を決めるテーマです。CVE-2026-12586として公表されており、パスワード再設定の処理で申請者が誰かを一切確かめないため、外部から管理者のパスワードを書き換えられます。使っていない古いテーマがサーバーに残っているケースは珍しくないので、テーマ一覧も一度見ておく価値があります。

導入数の多い拡張で見つかった3件

危険度の数字は中程度でも、入っているサイトの数が桁違いに多いものが3件あります。「自分のサイトに当てはまるか」という観点では、こちらのほうが該当しやすいはずです。

CVE-2026-15248：投稿者権限から他人の画像を消せる（Meta Box・50万サイト）

「Meta Box」は、投稿画面に独自の入力欄を追加するための拡張機能で、導入は50万サイト以上と、今回の27件で最大です。不動産サイトの「駅からの距離」欄、求人サイトの「年収」欄のような、標準にはない項目を作るのに使われます。

5.13.1より前の版は、添付ファイルを削除する前にその人にそのファイルを消す権限があるかを確かめていませんでした。そのため、いちばん低い投稿権限（Contributor）を持つ利用者が、他人がアップロードした画像や資料を狙って永久に削除できます。情報が盗まれるわけではないので危険度は5.5にとどまりますが、複数人で記事を書いているサイトでは実害が出ます。修正版は5.13.1、公開時点の最新は5.14.0です。報告者はDuy氏です。

CVE-2026-14817：外部ライターの投稿から訪問者にスクリプトが仕込める（Element Pack・10万サイト）

「Element Pack Addons for Elementor」は、ページ作成ツールElementorに部品を追加する拡張機能で、導入は10万サイト以上です。8.7.13より前の版では、部品に渡す設定値が画面に描き直される際に無害化されておらず、投稿権限を持つ利用者が任意のスクリプトを埋め込めました。埋め込まれたスクリプトは、そのページを見た訪問者のブラウザで動きます。

修正版は8.7.13（2026年7月19日）ですが、開発元の更新履歴を見ると、7月だけで8.7.11・8.7.12・8.7.13・8.7.14と「セキュリティ改善」の記載が4回並んでいます。公開時点の最新は8.7.14なので、そこまで上げておくのが無難です。報告者はPierre Rudloff氏です。

CVE-2026-16540：予約した人の個人情報が、ログインなしで全件取り出せる（Simply Schedule Appointments・6万サイト）

今回のなかで、サイトの持ち主以外にいちばん直接届くのがこれです。「Simply Schedule Appointments」は、クリニック・美容室・士業の面談などで使われる予約受付の拡張機能で、導入は6万サイト以上です。

1.6.12.6より前の版は、予約データをまとめて処理する内部の受け口が「申請した本人の予約だけ」に絞られていませんでした。CVEの記載では、ログインしていない相手がサイト内の全予約の個人情報を取得でき、有料版ではそれらを永久に削除することもできるとされています。取り出せるのは予約した人の氏名・連絡先・日時ですから、被害を受けるのはお店ではなく、そのお店を予約した人です。

危険度は6.5と中程度の評価にとどまっていますが、これは技術的な深刻さの尺度であって、漏れる情報の重さを測ったものではありません。修正版は1.6.12.6、公開時点の最新は1.6.12.13です。報告者はSuleyman Huseynov氏です。

そのほか、押さえておきたい5件

残りのなかから、影響の形が分かりやすいものを挙げておきます。

CVE-2026-14920（AcyMailing、危険度8.6）は、メール配信の拡張機能で、購読解除の処理に渡す値が数値として扱われないまま問い合わせ文に組み込まれ、ログインなしでデータベースの中身を探れるというものです。修正版は10.11.1（7月9日公開）。同じ10.11.1では、英国の調査会社mySites.guruが報告した別のデータベース読み出しの欠陥（CVE-2026-56292）も直っています。2件が同一の問題かどうかは公開情報からは確認できませんが、10.11.1へ上げれば両方とも対象外になります。

CVE-2026-15385（RT Mega Menu、危険度8.0）は、会員として登録しただけの人がメニュー項目の見た目指定に文字列を保存でき、それが全訪問者のブラウザで動くというものです。管理者が管理画面を開いたときにも動くため、そこから権限を奪う流れにつながります。修正版は1.5.2です。

CVE-2026-15236（Gallery for Google Photos、危険度7.5）は、Googleフォトとの連携に使う鍵（アクセストークンと更新用トークン）が、ログインしていない相手から読める状態で保存されていたというものです。鍵を取られると、サイトを経由せずに連携先のアルバムへ直接手が届きます。修正版は1.2.1です。

CVE-2026-14841（King Addons for Elementor、危険度7.1）は、記事一覧の絞り込み処理の応答に、送った値がそのまま混ざって返る不備です。細工したURLを踏ませることで、閲覧者のブラウザ上でスクリプトを動かせます。修正版は51.1.76で、開発元の更新履歴にも報告者名とともに記載があります。

CVE-2026-16285（Product Attachment for WooCommerce、危険度5.3）は、商品に添える資料の配信口が番号を総当たりできる作りで、公開していないファイルまでログインなしで取り出せるというものです。見積書や社内資料を同じサイトに上げていた場合は影響が出ます。修正版は2.3.3です。

2026年8月2日に公表された27件の一覧

27件すべてを、対象・内容・必要な権限・修正版で並べます。「必要な権限」は、その攻撃を成立させるために攻撃者側が持っている必要のあるものです。「なし」は、ログインせずに外から試せることを意味します。

危険度はすべてWPScanが付けた値です。CVE-2025-15675だけ番号の年が2025になっていますが、これは番号の予約が昨年だったためで、公表日は他と同じ8月2日です。

自分のサイトが対象か調べる方法と、対処

確認は3ステップで終わります。順番が大事なので、そのとおりに進めてください。

1. 使っていない拡張機能とテーマを消す。 管理画面の「プラグイン」→「インストール済みプラグイン」を開き、停止中のものを上から見ていきます。停止中でもファイルはサーバーに残っており、種類によっては外から呼び出せてしまいます。心当たりのないもの、何年も前に試して放置しているものは、この機会に削除します。「外観」→「テーマ」も同じで、使っていないテーマは消します。今回のLenxel WPはここに該当します。

2. 上の一覧表と名前を突き合わせる。 名前が見つかったら、その下のバージョン番号を表の「修正版」と比べます。番号が小さければ対象です。公式の配布サイトから入れたものは、管理画面の「更新」から押すだけで終わります。

3. 更新通知が出ないものを名指しで確認する。 ここが今回の肝です。配布が止められた6件には、更新通知が一切出ません。管理画面が「更新するものはありません」と表示していても、それは安全の証明になりません。下の名前がプラグイン一覧・テーマ一覧にないかを、目で確かめてください。

• Huge IT Login（表示名が単に「Login」の場合あり）
• POUCO Import Users
• Narrative Publisher
• Frontend File Manager
• Clever Mega Menu for Visual Composer（無料版）
• Lenxel WP（テーマ）

見つかった場合、更新という選択肢はありません。停止したうえで削除するのが唯一の対処です。機能が必要なら、現在も更新が続いている代替を探して入れ替えることになります。とくにCVE-2026-16261とCVE-2026-16256の2件は「ログインなしで管理者になれる」評価なので、代替探しの前にまず外してください。

対象の拡張機能を使っていた場合は、更新や削除だけで終わりにせず、あわせて3点を点検します。利用者一覧に見覚えのない管理者が増えていないか、予約や会員のデータに不自然な取得の形跡がないか、そして本人確認まわりの2件に当てはまるなら管理者パスワードの変更と、認証用の秘密の文字列（SALT）の作り直しです。こうした「外から取り込んだ部品を、どう数えてどう捨てるか」という管理の話は、OSSサプライチェーンの点検としてまとめています。

悪用の状況（確認済み／未確認の整理）

現時点で確認できることと、まだ分からないことを分けておきます。

ただし、悪用報告がないことと安全であることは別の話です。WordPress本体では7月に、ログインなしで乗っ取られる脆弱性（CVE-2026-63030ほか）が実際の攻撃で使われ、公開された再現コードをもとに広範囲の探索が始まった経緯があります。今回の27件も、再現手順の公開が8月3日以降に控えているものが複数あります。掲載状況の変化はCISA KEV（実際に攻撃されている脆弱性の一覧）の日本語版ダッシュボードで追えます。

まとめ

2026年8月2日に公表されたWordPress関連の脆弱性27件のうち、21件は更新するだけで直ります。導入数の多いものではMeta Box（50万サイト）を5.13.1へ、Element Pack（10万サイト）を8.7.13以降へ、予約受付のSimply Schedule Appointments（6万サイト）を1.6.12.6へ。とくに最後の1つは、漏れるのがサイトの持ち主の情報ではなく予約した人の氏名と連絡先なので、心当たりがあれば今日のうちに確認する価値があります。

問題は残りの6件です。修正版が出ないのは開発が止まっているからで、止まっているから公式の配布も止められている。そして配布が止められているから、管理画面に更新通知が出ない。更新通知が出ないという一点だけで、8年前に見捨てられたコードが今日まで生き延びてきたわけです。管理画面の「更新」欄が空っぽであることは、安全の証明ではありません。

やることは、使っていない拡張機能とテーマを消すこと。それだけで今回の6件のうち多くは片付きます。ふだんの運用でも、「入れたが使っていない」ものを停止のまま残さず、削除まで済ませておくのが結局いちばん安く済みます。悪用の報告や再現手順の公開など新しい動きがあれば、追って更新します。

参照元

• ▸ NVD - CVE-2026-15206 Detail（SMS Alert）
• ▸ NVD - CVE-2026-16261 Detail（Huge IT Login）
• ▸ NVD - CVE-2026-16256 Detail（POUCO Import Users）
• ▸ NVD - CVE-2026-16540 Detail（Simply Schedule Appointments）
• ▸ NVD - CVE-2026-15248 Detail（Meta Box）
• ▸ NVD - CVE-2026-12586 Detail（Lenxel WP テーマ）
• ▸ WPScan - SMS Alert < 3.9.8 の脆弱性情報
• ▸ WPScan - Huge IT Login <= 1.0.4 の脆弱性情報
• ▸ WPScan - POUCO Import Users <= 1.0.0 の脆弱性情報
• ▸ WPScan - Simply Schedule Appointments < 1.6.12.6 の脆弱性情報
• ▸ WPScan - Lenxel WP <= 1.0.31 の脆弱性情報
• ▸ WPScan - Unauthorized Plugin Installation/Activation in Hunk Companion（配布停止プラグインが悪用された事例）
• ▸ WordPress.org - login-social（2018年2月7日に配布停止）
• ▸ WordPress.org - POUCO Import Users（2020年8月5日に配布停止）
• ▸ WordPress.org - Frontend File Manager Plugin（2026年5月27日にセキュリティ上の理由で配布停止）
• ▸ WordPress.org - Narrative Publisher（2026年6月25日に審査のため一時停止）
• ▸ WordPress.org - Clever Mega Menu（2026年7月14日に審査のため一時停止）
• ▸ mySites.guru - AcyMailing SQL Injection Vulnerability（CVE-2026-56292）
• ▸ CISA - Known Exploited Vulnerabilities Catalog