WordPress脆弱性3件、Apple連携ログイン偽装で管理者乗っ取り CVE-2026-8457

2026年8月1日（日本時間8月2日）、WordPressの拡張機能（プラグイン）3件に脆弱性が公表されました。いちばん危険度が高いのは、会員登録やログインに「Appleでサインイン」を使えるようにするプラグインの穴です。管理番号はCVE-2026-8457、危険度を示すCVSSスコアは10点満点中9.8（緊急）で、パスワードを一切知らない相手が、サイトの管理者になりすませてしまいます。

残る2件（CVE-2026-18352／CVE-2026-13339）は、ログインしていない相手にサーバー内のファイルを読み出されるというもので、どちらもCVSS 7.5です。3件とも修正版が出そろっており、対処は更新だけで済みます。

共通しているのは、3件とも「誰を通し、誰を止めるか」を担当するプラグインだったことです。会員サイトの入口と鍵にあたる部分が、そろって破られました。

今回公表された3件の一覧

3件はいずれも、WordPress専門のセキュリティ会社Wordfenceが脆弱性情報を公開し、同じ日に米国政府の脆弱性データベース「NVD」へ登録されました。3件とも、攻撃する側にアカウントもパスワードも要りません。サイトのURLさえ分かれば試せる種類の穴です。

誰が狙い、何をされるのか

この手の穴を探しているのは、ネット上のWordPressサイトを機械的に片っ端から叩いて、入れる場所だけを拾っていく攻撃者です。狙いを定めて特定の会社を攻めるというより、公開された脆弱性の情報をそのまま自動巡回のプログラムに組み込み、対象バージョンのまま放置されているサイトを収穫していきます。会員制のオンラインショップ、有料の会員サイト、社内向けの資料置き場など、ログインの仕組みを持つサイトほど当たりが大きくなります。

入れた後にやることは、穴の種類で分かれます。管理者になりすませる1件目なら、自分用の管理者アカウントを裏口として作り、商品ページに偽の決済先を差し込んだり、訪問者にウイルスを配る仕掛けを埋め込んだりします。ファイルを読める2件目・3件目は、サイトの設計図にあたる設定ファイルを抜き取るのが目的です。そこにはデータベースの接続先とパスワード、認証用の秘密の文字列がまとめて書かれています。

被害は運営側だけの話では終わりません。会員として登録した人の氏名・住所・購入履歴はデータベースの中にあり、接続情報を握られた時点で丸ごと持ち出せる状態になります。サイトを訪れただけの人も、改ざんされたページから偽のログイン画面へ流されたり、不正なファイルを掴まされたりします。だからこそ、対象のバージョンを使っているかどうかの確認が最優先になります。

3件の脆弱性の詳細

CVE-2026-8457：Appleのサインインを偽造され、誰でも管理者になれる（Social Login）

対象は「Social Login – WordPress / WooCommerce Plugin」という有料プラグインです。開発元はインドのWPWeb（WP Web Elite）で、素材マーケットのCodeCanyonで販売されています。価格は39ドル、これまでの販売数は3,564本です。ネットショップを作るWooCommerceと組み合わせて、購入者が「Googleでログイン」「Facebookでログイン」「Appleでサインイン」といったボタンから会員登録できるようにするための拡張機能です。

問題があったのは、このうちAppleの経路です。Appleでサインインを押すと、Apple側が「この人は確かに本人です」と証明する電子的な引換券（トークン）を発行し、それをサイト側が受け取って会員を特定します。この引換券には、偽造を防ぐためにAppleの電子署名が付いています。NVDの記載によれば、2.8.7以前のプラグインはこの署名をまったく検証せず、引換券の中身だけを読んでいたとされています。発行元がAppleかどうか、宛先がこのサイトかどうか、有効期限が切れていないかも確かめていませんでした。

さらに、この処理を呼び出すために必要な使い捨ての合言葉（nonce＝ノンス）が、サイトのページの中に誰でも見える形で書き出されていました。合言葉が公開されているうえに、引換券の真偽も確かめない。この2つが重なったため、攻撃者は管理者のメールアドレスを書いただけの引換券を自作して送りつけるだけで、管理者としてログインできてしまいます。CVSSは9.8で、機密性・完全性・可用性のすべてが「高」と評価されました。

報告したのは、WordPressのセキュリティ研究で知られるRafie Muhammad氏（Awesome Motive）です。開発元への通知は2026年7月14日、修正版2.8.8の公開は7月27日、一般公開は8月1日という流れでした。開発元の更新履歴にも「AppleのサインインIDトークンの検証を修正・改善した」と記載されています。

この3件のなかで、いちばん更新の手間がかかるのがこのプラグインです。WordPress公式のプラグイン置き場ではなくCodeCanyonで売られているため、管理画面に更新通知が出ないまま何年も古い版が動き続けている、という事態が起こりやすくなっています。

CVE-2026-18352：会員限定ファイルの配信口から、サーバー内のどのファイルでも読める（User Access Manager）

2件目の「User Access Manager」は、記事や固定ページ、添付ファイルに「この会員グループだけ閲覧可」といった制限をかけるためのプラグインです。開発者はAlexander Schneider氏、導入は1万サイト以上、累計ダウンロードは132万件を超える定番の1本です。

このプラグインは、会員限定のPDFなどを直接のURLで盗まれないよう、uamgetfile というパラメータを経由してファイルを配信する仕組みを持っています。本来はここで「この人にこのファイルを見せてよいか」を判定するはずでした。ところが2.3.15以前は、権限の確認には正規の添付ファイルを使い、実際に送り出すのは攻撃者が指定した別のファイル、という食い違いが起きていました。結果として、ログインしていない相手でも、サーバー内の任意のファイルを読み出せます。

この種の穴で真っ先に狙われるのが、WordPressの土台になる設定ファイル wp-config.php です。データベースの接続先・利用者名・パスワード、そしてログイン情報を守るための秘密の文字列がまとめて書かれています。読まれた時点で、サイトの中身は事実上そのまま持ち出せる状態になります。

修正版は2.3.16で、公開時点の最新版は2.3.17です。報告したのはタイの調査会社E-CQURITYのSupakiad S.氏（m3ez）で、通知から修正版の公開までおよそ10時間という速さでした。修正の中身は、送り出す直前にファイルの実際の場所を解決し、それがアップロード用フォルダの内側かどうかを確かめる、という素直なものです。なお、このプラグインは7月に入ってから公開範囲まわりの修正が続いており、2.3.13・2.3.14・2.3.15でもそれぞれ別の穴がふさがれています。

CVE-2026-13339：スライダーの矢印アイコン指定からファイルを読まれる（CubeWP Framework）

3件目の「CubeWP Framework」は、求人サイトや不動産サイト、ディレクトリサイトのような「投稿を検索して絞り込む」型のサイトを、プログラムを書かずに組み立てるためのプラグインです。開発者はImran Tauqeer氏、導入は4,000サイト以上、累計ダウンロードは約9.7万件です。

穴があったのは、画像スライダーの前後の矢印アイコンを差し替える機能でした。アイコンの画像ファイルの場所を指定するパラメータ（prev_icon / next_icon）が、そのまま内部の読み込み処理 cubewp_get_svg_content に渡されており、../ を並べて上の階層へさかのぼる指定を止めていませんでした。こちらも呼び出しに必要な合言葉がページ内に露出していたため、訪問者なら誰でも試せる状態でした。読み出せる範囲は2件目と同じで、狙われるのも同じ設定ファイルです。

修正版は1.1.31（2026年7月29日公開）です。報告者はGalaxyOneのNhien Pham氏（nhienit）で、開発元の更新履歴にもCVE番号と報告者名が明記されています。1.1.31では今回の穴に加えて、データベースへの不正な問い合わせ（SQLインジェクション）、他人のデータを覗ける不備、投稿画面への不正なスクリプト混入も同時に修正されました。1.1.30以前を使っているなら、今回のCVE以外の理由でも更新する価値があります。

なぜ「署名を確かめない」だけで管理者になれてしまうのか

1件目の仕組みは、SNS連携ログインを入れているサイトなら他人事ではないので、少し丁寧に説明します。

「Appleでサインイン」「Googleでログイン」といったボタンの裏側では、JWT（ジョット）と呼ばれる形式のデータがやり取りされています。JWTは、点で区切られた3つの部分でできています。前の2つには「発行元はApple」「宛先はこのサイト」「利用者のメールアドレスはこれ」といった中身が入っており、この部分は暗号化されておらず、誰でもそのまま読めます。3つ目が電子署名で、「この中身はAppleが作ったもので、途中で書き換えられていない」ことを保証する部分です。

つまりJWTは、中身を隠すための仕組みではなく、中身が本物かどうかを署名で確かめるための仕組みです。ですから受け取る側は、Appleが公開している鍵を取ってきて署名を検証し、そのうえで発行元・宛先・有効期限を確認しなければなりません。この手順はAppleの開発者向け資料でも明示されています。

今回のプラグインは、この検証を飛ばして「読めるところだけ読んで信じる」実装になっていました。読めるところだけ読むなら、それは身分証を見せてもらったが、写真も透かしも見ずに、名前欄の文字だけ書き写したのと変わりません。攻撃者は自分でJWTらしき文字列を組み立て、メールアドレスの欄に管理者のアドレスを書けば、それだけで管理者として通ります。

この取り違えは、今回に限った話ではありません。2026年7月には、Microsoftのアカウント連携を扱うWordPress用プラグインでも、同じく引換券の検証が抜けていた事例が公表されています。当サイトでも過去に、社内システムのログイン連携を担うminiOrange SAML SSOでパスワードなしに管理者を乗っ取られる脆弱性を取り上げました。ログインを他社に任せる部品ほど、任せた先の署名をきちんと見ているかが生死を分けます。

自分のサイトが対象か調べる方法と、対処

確認は数分で終わります。WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、下の表にある名前が並んでいないかを見てください。名前が見つかったら、その下に表示されているバージョン番号を修正版と比べます。

公式の置き場から入れた2件は、管理画面の「更新」から押すだけで終わります。自動更新を有効にしていれば、すでに直っている可能性もあります。手間がかかるのは有料のSocial Loginのほうで、購入時のアカウントでCodeCanyonのダウンロード一覧から2.8.8を取り直し、入れ替える必要があります。購入した本人が退職している、制作会社に任せきりで手元にアカウントがない、といった状態なら、Appleでサインインのボタンをいったん止めるのが暫定の逃げ道になります。

更新が済んだら、あわせて2つ点検してください。1つは利用者一覧に見覚えのない管理者が増えていないか。もう1つは、ファイル読み出しの2件を使っていた場合の秘密の文字列の作り直しです。wp-config.php を読まれた前提に立つなら、データベースのパスワード変更と、認証用キー（SALT）の再発行までやって、ようやく元に戻ります。こうした「外から取り込んだ部品の弱点をどう管理するか」という話は、OSSサプライチェーンの点検としてまとめています。

悪用の状況（確認済み／未確認の整理）

現時点で言い切れることと、まだ分からないことを分けておきます。落ち着いて更新すれば足りる段階ですが、対象バージョンのまま放置してよい理由にはなりません。

とはいえ、WordPressプラグインの脆弱性は、公開から数日で自動巡回のプログラムに組み込まれる例が珍しくありません。当サイトでも7月29日公表分の決済まわりの脆弱性や、AIプラグイン『AI Engine』で管理者を勝手に作られる脆弱性を続けて扱っています。実際に攻撃が観測され始めたかどうかは、CISA KEV（実際に攻撃されている脆弱性の一覧）の日本語版ダッシュボードで追えます。

同じ日に出た、WordPress以外の注目脆弱性

8月1日には、WordPress以外にも気になる登録がありました。日本の一般利用者に直接届く話ではありませんが、当てはまる立場の人には無視できない2件を挙げておきます。

1つは、企業のパソコンやサーバーをまとめて遠隔管理するための業務用ソフト「N-able N-central」のCVE-2026-18556です。開発元自身が「認証を経ずに管理者アカウントを乗っ取られる」と説明しており、CVSSは8.2、2026.1までのすべてのバージョンが対象とされています。ただし、公開から丸1日たっても、修正版の番号を明記した開発元の告知が見当たりません。参照先として登録されているのは稼働状況のページだけで、そこにも該当の記載はありません。この製品は2025年8月にも2件が「実際に攻撃されている脆弱性リスト」へ載っており、放置しやすい種類の製品ではありません。利用している企業は開発元への直接の問い合わせが要ります。

もう1つは、プログラミング言語Elixirでログイン処理を作るときによく使われる部品「Guardian」の4件（CVE-2026-55735ほか）です。なかでも8.2と評価されたものは、ログアウト処理で引換券の署名を確かめていなかったため、他人のログイン状態を勝手に切れてしまうという内容でした。今回の1件目とまったく同じ「署名を見ていない」型の不備が、別の言語圏でも同じ日に公表されたことになります。修正版は2.4.1です。

なお同じ日に登録されたCVE-2026-17002は、採番元のGitLabによって取り下げられており、脆弱性としての内容はありません。

まとめ

2026年8月1日に公表されたWordPressプラグインの脆弱性3件は、いずれも「誰を通すか」を決める場所にありました。もっとも危険なCVE-2026-8457は、Appleが発行する本人確認の引換券について電子署名を確かめていなかったため、管理者のメールアドレスを書いただけの偽物で管理者として通れてしまいます。残る2件は、会員限定のファイル配信とアイコン表示という、地味な入口からサーバー内のファイルを読まれるというものでした。

やることは、対象の3本を使っているかを管理画面で確かめ、修正版へ上げる。それだけです。公式の置き場から入れた2本は数クリックで終わります。厄介なのは有料マーケットで買ったSocial Loginのほうで、管理画面に更新通知が出ないため、購入アカウントをたどって手で入れ替える必要があります。「更新ボタンが出ないプラグイン」こそ、いちばん古いまま動き続けるという点は、今回いちばん覚えておく価値のある教訓です。悪用の報告やKEVへの掲載など新しい動きがあれば、追って更新します。

参照元

• ▸ NVD - CVE-2026-8457 Detail（Social Login）
• ▸ NVD - CVE-2026-18352 Detail（User Access Manager）
• ▸ NVD - CVE-2026-13339 Detail（CubeWP Framework）
• ▸ Wordfence Intelligence - WooCommerce Social Login の脆弱性一覧
• ▸ Wordfence Intelligence - User Access Manager の脆弱性一覧
• ▸ Wordfence Intelligence - CubeWP Framework の脆弱性一覧
• ▸ WP Web Elite - Social Login 更新履歴（2.8.8）
• ▸ WordPress.org - User Access Manager プラグインページ
• ▸ WordPress.org - CubeWP Framework プラグインページ
• ▸ Apple Developer - Verifying a User（Sign in with Apple）
• ▸ YesWeHack - Auth bypass in WordPress Azure AD SSO plugin due to missing OIDC id_token validation
• ▸ NVD - CVE-2026-18556 Detail（N-able N-central）
• ▸ Erlang Ecosystem Foundation - CVE-2026-55735（ueberauth Guardian）
• ▸ CISA - Known Exploited Vulnerabilities Catalog