WordPressプラグイン脆弱性27件、日本製の追従ボタンも対象 CVE-2026-15383

2026年8月3日、WordPressの拡張機能（プラグイン）22種類について、あわせて27件分の脆弱性が一度に公表されました。すべてWPScanというWordPress専門のセキュリティ調査チームが管理番号（CVE）を割り当てたもので、日本時間の同日15時ごろ、米国政府の脆弱性データベースNVDへまとめて登録されました。

この並びのなかに、日本の会社が作り、約9000サイトで使われている拡張機能が1つ入っています。ブログの画面の隅に追いかけてくるボタンを置く「Blog Floating Button」です。開発しているのは静岡市の株式会社メリル（Meril Inc.）で、利用者のほとんどは日本語のブログ運営者だと考えられます。

そして、この1件には他の26件と違う事情があります。修正版は7月31日にすでに公開されているのに、開発元の公式サイトも、脆弱性データベースも、それを伝えていません。公式サイトは今も「最新バージョン：1.4.15」と案内し、WPScanの該当ページには「No known fix（判明している修正版なし）」と書かれたままです。つまり、直っているのに、利用者がそれを知る手段がほぼない状態が続いています。

今回の27件は、誰が攻撃できるものなのか

まとめて公表されると件数の多さに目が行きますが、実際に自分のサイトが危ないかどうかを決めるのは「攻撃する側に何が必要か」です。ログインすら要らないものと、記事を書ける権限を持った内部の人でないと成立しないものでは、心配すべき度合いがまったく違います。27件を、その条件で分けたものが次の表です。

気にすべきは上の2行、あわせて14件です。ログインなしで成立するものが11件あり、これはサイトの知名度と関係なく狙われます。攻撃する側は特定の会社を選んでいるのではなく、公表された一覧をそのまま巡回プログラムに流し込み、当てはまるサイトを全世界から機械的に拾っていくからです。

逆に、下の4行の13件については落ち着いて構いません。外部ライターを入れていない個人ブログや、会員登録を受け付けていない会社サイトなら、そもそも攻撃の入口が存在しません。更新はしておくべきですが、今夜サーバーに駆けつける類の話ではありません。

なお、危険度を示す点数（CVSS）については注意が必要です。27件はいずれもNVD側が「解析待ち」の状態で、8月3日時点で米国政府としての点数は付いていません。この記事で点数に触れる場合は、すべてWPScanが独自に付けた値であることを明記します。後からNVDの評価が出て、数字が動く可能性があります。

日本製の「Blog Floating Button」で何が起きるのか

Blog Floating Button（略してBFB）は、ブログの画面の下や横に、スクロールしても追いかけてくるボタンを置くための拡張機能です。「お問い合わせはこちら」「メルマガ登録」といった誘導ボタンを、HTMLを書かずに設置できます。ボタンが何回押されたかを数える機能も付いていて、これが今回の問題の舞台になります。

WordPress公式の配布サイトによれば、有効に使っているサイトは約9000。累計ダウンロードは約8万回です。開発元の公式サイトも解説記事もすべて日本語で、日本のブログ運営者向けに作られた拡張機能だとわかります。作者は、ブログ運営の解説で知られる中島大介氏です。

訪問者が名乗る「ブラウザの名前」が、そのまま管理画面に貼り出されていた

サイトに誰かがアクセスすると、ブラウザは「私はiPhoneのSafariです」といった自己紹介の文字列をサーバーへ送ります。これをUser-Agent（ユーザーエージェント）と呼びます。この文字列は訪問者側が自由に書き換えられます。ブラウザが自動で入れるものであって、サーバーが検査して発行しているものではないからです。

BFBはボタンの押下を記録するとき、この自己紹介の文字列をそのままデータベースに保存し、管理画面の「アクセス解析レポート」に一覧表示していました。CVE-2026-15383は、この保存と表示のどちらでも中身の点検をしていなかった、というものです。

結果として何が起きるか。攻撃する側は、自己紹介の欄にブラウザ名ではなく小さなプログラム（スクリプト）を書き込んで、対象のサイトに1回アクセスするだけで済みます。あとは待つだけです。サイトの持ち主が管理画面のレポートを開いた瞬間、そのプログラムが管理者としてログイン中のブラウザの中で動きます。新しい管理者アカウントを作る、投稿を書き換える、外部へ情報を送る。管理者が自分でやったのと同じ扱いになるので、止めるものがありません。

この種の攻撃を保存型クロスサイトスクリプティング（保存型XSS）と呼びます。押し込んだプログラムがサーバー側に残り、後から管理者が画面を開いたときに発動するのが特徴で、攻撃する側は管理者がいつ画面を見るかを知る必要すらありません。報告したのはインドのセキュリティ研究者Shivamani Vastrala氏で、WPScanは危険度を10点満点中8.8と評価しています。

修正版は7月31日に出ている。ただし、それを知る手立てがない

ここが今回いちばん伝えたい部分です。この問題はすでに直っています。WordPress公式の配布サイトを見ると、BFBは2026年7月31日にバージョン1.4.21を公開しており、その更新履歴には「Security release.（セキュリティのための公開）」と明記されています。WPScanが情報を公開したのが7月24日ですから、開発元は1週間で修正版を出したことになります。対応は速いほうです。

それなのに、利用者がその事実にたどり着けません。理由が3つ重なっています。

WPScanのページには「Last Updated 2026-07-31」と記録されており、修正版が出たその日に何らかの更新がされているのに、「修正版なし」の表示は変わっていません。脆弱性の情報を扱うサイトは世界中がこのデータベースを引用するので、この1行が直らない限り、各所に「未修正のまま」と書かれ続けます。

この記事では、公表された情報をなぞるだけでは判断できないと考えて、1.4.20と1.4.21の中身を実際に取り寄せて比べました。結果は次のとおりです。訪問者の自己紹介を受け取る部分（tracking.phpほか）では、受け取った文字列をそのまま扱っていた箇所に点検処理が入りました。レポートの表示部分（report-detail-access.php）では、データベースの値を直接HTMLに流し込んでいた行が、無害化してから出力する形に書き換わっています。報告された内容と、実際の修正箇所が一致しています。修正は本物です。

一方で、正確を期すために付け加えておくと、記録を受け付ける窓口そのものは1.4.21でもログイン不要のままです。訪問者のクリックを数えるための仕組みなので、そこは開けたままにして、受け取った文字列の扱い方を直す、という設計になっています。「窓口を閉じた」わけではない、という点は誤解しないほうがよいでしょう。

CVE番号が付いていない穴も、同じ更新でふさがれている

1.4.21の更新履歴には、CVE-2026-15383として公表されたXSS以外にも、直した項目が並んでいます。原文では、レポート画面の検索・絞り込みの入力欄を経由したデータベースへの不正命令（SQLインジェクション）の修正、エラー表示からサーバー内部の保存場所が漏れる問題の修正、そして出力と入力の処理をプラグイン全体で見直した、と書かれています。

中身を比べたところ、この記述も裏付けが取れました。1.4.20では検索条件をそのまま文字列としてつなげてデータベースへ送っていた箇所が5か所あり、1.4.21ではすべて、値を安全に埋め込む書き方へ作り直されています。

このSQLインジェクションのほうには、CVE番号が振られていません。つまり脆弱性データベースを機械的に見ているツールでは、この問題の存在自体が見えません。CVE番号が付いた1件だけを追いかけていると、同じ更新で一緒に直された分を取りこぼすことになります。似た構図はOSSサプライチェーンの検査ツールをまとめた記事でも扱っていますが、番号が付いていない修正は、番号を数えるだけの仕組みからは常に漏れます。

BFBを使っている人がやることは1つです。管理画面のプラグイン一覧を開き、Blog Floating Buttonを1.4.21へ更新してください。公式サイトの案内より、WordPressの管理画面に出る更新通知のほうが正しい状態です。

会員制サイトを運営しているなら「Simple Membership」が最優先

今回の27件で、被害の大きさという意味で最も重いのはSimple Membershipの2件です。会員限定ページや有料コンテンツを作るための拡張機能で、約4万サイトが使っています。

CVE-2026-15930は、会員登録の処理に問題があるというものです。新規登録の際、アカウント作成に失敗したときの戻り値を確認せずに会員IDとして扱っていたため、すでに存在する管理者と同じ利用者名で登録を試みると、その管理者のメールアドレスを上書きできてしまいます。あとはパスワード再設定を要求すれば、再設定用のメールが攻撃する側に届きます。ログインなしで、サイトの管理者を丸ごと奪えるという結末です。報告者はBrandon Steed氏、WPScanの評価は9.4で、今回の27件のなかで最も高い数字です。

同時に公表されたCVE-2026-15931は、PayPalの定期支払いの承認通知に含まれる購読者名が管理画面でそのまま表示される問題で、BFBと同じ保存型XSSです（WPScan評価8.8、報告者Yaswanth Reddy Sunkara氏）。2件とも4.7.8で直っており、公開時点の最新は4.7.9です。会員制サイトは会員の氏名・メールアドレス・決済に関する記録を抱えているので、乗っ取られたときに失うものが大きくなります。心当たりがあれば、この記事で最初に手を付けるべきはここです。

ログインなしで攻撃が成立する11件

誰でも試せる11件を、影響の重い順に整理します。導入数の欄はWordPress公式配布サイトの公表値です。

この表で目を引くのは、ChamaWPの導入数が「10+」しかないことです。WordPress公式の表記で最も小さい区分にあたり、実際に使っているサイトは世界で十数件しかありません。CVE番号だけを並べた記事なら「誰でも任意のパスワードを再設定できる重大な脆弱性が2件」と書けてしまいますが、対象の実数はこの規模です。CVE-2026-16300とCVE-2025-15672はどちらも1.0.13で直っており、公開時点の最新も1.0.13です。件数を水増しして不安をあおる書き方はしません。

Link LibraryのCVE-2026-16532は、リンク集を作るための拡張機能で、訪問者がリンクを投稿できる入力フォームからデータベースへ不正な命令を送り込めるというものです。約1万サイトが対象で、7.9.3で修正済み（現行7.9.4）。投稿フォームを表に出している運用であれば、優先度は上がります。

修正版が出ていない7件。うち6件は直前に配布が止められたばかり

27件のうち7件は修正版が存在しません。更新ボタンを押しても直らないので、対処は「外す」しかありません。この構図自体は前日8月2日の27件でも起きていて、そちらでは最も古いもので2018年に配布が止まっていました。

今回は事情が違います。配布が止められた日付を調べると、6件とも、この2〜6週間のあいだに止められたばかりでした。放置されて忘れられたのではなく、今回の報告が引き金になって止められたと見るのが自然です。

6件すべてに「This closure is temporary, pending a full review.（この停止は一時的なもので、全体の審査を待っている状態です）」と書かれています。審査が済んで戻ってくる可能性はありますが、戻ってくるまでのあいだ、その拡張機能を入れたままのサイトには更新通知が届きません。配布が止まっているので、更新のしようがないからです。

残る1件のSuper Store Finderは事情が別です。これは店舗検索の機能を提供する有料製品で、そもそもWordPress公式では配布されていません。CVE-2026-12965は7.8以下が対象で、修正版の情報は8月3日時点で確認できませんでした。購入元からの連絡を待つことになります。

昨日「更新すれば直る」と書いた2件に、続きがありました

当サイトは8月2日の記事で27件を扱いました。そのなかの2つの拡張機能が、翌日の今回も別のCVEで登場しています。そして、上げるべきバージョンが昨日書いた数字より上に動いています。

昨日の案内どおりに1.6.12.6へ上げた人は、今日公表された分についてはまだ対象のままです。予約受付のSimply Schedule Appointmentsは、クリニックや美容室、士業の面談予約などで使われていて、導入数は約6万。今回のCVE-2026-15254は、記事を書ける権限を持った人が管理者向けの短い記述（ショートコード）を投稿に埋め込むことで、予約した人の情報を引き出せるというものです。昨日の分がログイン不要だったのに対し、今回は権限が要ります。緊急度は下がりますが、数字としては1.6.12.13まで上げておくのが確実です。

会員グループを作るProfileGridも同じ形です。CVE-2026-16289は、会員登録しただけの人が、非公開グループへの参加申請者の一覧を見られるというもの。6.0.0.0で直り、現在は6.0.0.1です。

短い期間に同じ拡張機能から複数の報告が出るのは珍しいことではありません。「昨日更新したから大丈夫」と考えないほうがいい、というのが実務上の教訓です。

27件の全体一覧

前の章までで触れなかったものも含めた全件です。「必要な立場」の欄が「なし」となっているものが、ログイン不要で成立する11件です。

今回の27件のなかで導入数が最も多いのはSVG Supportの約100万サイトです。図やアイコンをSVG形式で読み込むための拡張機能で、CVE-2026-13340は、圧縮されたSVG（拡張子.svgz）が無害化処理の対象から外れていた、というものです。ただし攻撃には投稿者以上の権限が要り、2.5.17で修正済み、現在は2.6.1。導入数の大きさに驚く必要はありません。

通販サイトを複数店舗で運営するDokanの2件は、店舗の運営者どうしのあいだで権限の境界が守られていないというものです。他店の注文の状態をまとめて変えたり、他店の商品情報を書き換えたりできます。5.0.9で修正され、現在は5.0.11。同じ場所で複数の事業者が商売をしている構造なので、境界が崩れると影響は当事者だけの問題では済みません。

管理者権限が前提の2件（CVE-2026-16297とCVE-2025-15673）については、率直に言って実害の想定が難しい部類です。管理者は元からサイト内で何でもできるので、そこから「さらに何かができる」ことに大きな意味はありません。共同運営で管理者を複数人に配っている場合の内部不正、という限られた場面向けの話になります。

同じ日に出た、WordPress以外の脆弱性

8月3日には、WordPress関連以外にも4件が登録されています。単独の記事にはしませんが、名前を知っている人が多そうなものが1件あるので触れておきます。

Synologyの設定用ソフトに問題。ただしNAS本体は無関係

家庭や小さな会社で使うネットワーク接続の保存装置（NAS）で知られる台湾のSynologyが、Synology-SA-26:12としてCVE-2026-4793を公表しました。危険度は7.3です。

対象は「Synology Assistant」というWindows用の補助ソフトで、NASを買ったときに、機器を見つけて初期設定をするために一度だけ使うことが多い道具です。導入時にファイルの権限設定が緩く作られており、同じパソコンを使える別の利用者が、本来触れないファイルを読み書きできてしまいます。

インターネット越しにNASが乗っ取られる、という話ではありません。攻撃するには、そのパソコンにログインできる立場が必要で、なおかつ導入作業のタイミングが絡みます。共用パソコンでもない限り、条件を満たすのは難しいでしょう。7.0.7-50095で修正済みです。NAS本体のソフト（DSM）に今回の話は関係ありません。

1つ付け加えると、この問題を見つけて報告したのは、GMOサイバーセキュリティ byイエラエ社の松本一真氏です。Synologyの公式アドバイザリに日本の研究者名が載っています。今回のCVEレコードのなかで、日本が関わっているのはBlog Floating Buttonとこの1件です。

プリントサーバー3件は、国内の利用がほぼ想定されない

残る3件（CVE-2026-18587・18588・18589）は、Wavlinkというメーカーの「WL-NU516U1」というUSBプリントサーバーに関するものです。2件が危険度9.8と高い数字ですが、この記事では詳しく扱いません。理由を書いておきます。

この機種は家庭内のLANでプリンターを共有するための小型機器で、インターネットに直接つなぐ使い方が想定されていません。日本語のマニュアルは付いており通販でも買えますが、国内の法人導入はほぼ考えにくく、名前を聞いて自分ごとと感じる読者が少ないと判断しました。加えて、公表されている修正ファームウェアの配布先が現時点でエラーを返し、入手できません。読者に案内できる対処がない状態です。動きがあれば改めて扱います。

なお、米国政府が「実際に攻撃に使われている」と認定した脆弱性の一覧（KEV）を確認したところ、この日に登録された31件は1件も入っていません。KEVの収録状況はCISA KEVダッシュボード（日本語版）で追えます。

自分のサイトが対象かどうかを確かめる

WordPressを使っている人が、いま実際にやることを順番に書きます。

それから、更新の前にバックアップを取ってください。今回の対象にはメジャーバージョンが上がるもの（ProfileGridの5系→6系、Contest Galleryの30系→31系）が含まれていて、見た目や設定が変わる場合があります。急いで更新して表示が崩れると、直すのに余計な時間がかかります。

すでに侵入されていないかを確かめたい場合は、管理者アカウントの一覧に見覚えのない名前が増えていないかを最初に見るのが早道です。今回のうち管理者を奪える型（Simple Membership、Import and export users and customers）は、新しい管理者を作るか、既存の管理者のメールアドレスを書き換える形を取るため、「利用者」一覧の権限グループとメールアドレスに痕跡が残ります。更新すれば穴はふさがりますが、更新前に入られていた場合、作られたアカウントは残ったままです。

まとめ

2026年8月3日に公表されたWordPress拡張機能の脆弱性は27件、対象は22種類。うち20件は更新するだけで直り、7件は修正版がありません。修正版がない7件のうち6件は、この2〜6週間のあいだにWordPress公式の配布が止められたばかりのものでした。

優先順位をはっきり書きます。会員制サイトを運営していてSimple Membershipを使っているなら、いますぐ4.7.9へ。ログインなしで管理者を奪える型で、今回で最も重い1件です。次に、リンク投稿フォームを公開しているサイトのLink Libraryを7.9.4へ。

そして日本のブログ運営者にとっては、Blog Floating Buttonを1.4.21へ上げることが今回の実務です。この1件は「まだ直っていない」と書かれている情報のほうが誤りで、7月31日に修正版が出ています。開発元の公式サイトが古い案内のまま止まっており、脆弱性データベースの側も「修正版なし」の表示を変えていないため、正しい情報にたどり着けない状態が続いています。中身を取り寄せて比べた限り、修正は報告内容と一致しており、本物でした。

今回わかったことをもう1つ。CVE番号が振られた問題だけを追いかけると、取りこぼしが出ます。BFBの1.4.21では、番号が付いたXSSと一緒に、番号のないデータベースへの不正命令の問題も直っています。番号を数えるだけの仕組みは、番号のない修正を見つけられません。「更新履歴を読む」という地味な作業が、いまのところ最も確実です。

最後に、今回の27件はいずれも実際に攻撃されたという報告はなく、KEVにも入っていません。ただし、公表された一覧はそのまま攻撃側の巡回リストになります。前日8月2日に公表された分は別の記事で扱っていて、そちらにも配布停止の拡張機能が6件含まれています。WordPress本体の更新についても別に整理してありますので、あわせて確認してみてください。

参照元

• ▸WPScan - Blog Floating Button <= 1.4.20 Unauthenticated Stored XSS（「No known fix」の表示を確認）
• ▸CVEレコード - CVE-2026-15383（Blog Floating Button）
• ▸WordPress.org - Blog Floating Button（1.4.21 / 2026年7月31日更新 / 約9000サイト）
• ▸Blog Floating Button - readme.txt（1.4.21の更新履歴原文）
• ▸Blog Floating Button 公式サイト（「最新バージョン：1.4.15」の表示）
• ▸CVEレコード - CVE-2026-15930（Simple Membership 管理者乗っ取り）
• ▸CVEレコード - CVE-2026-15931（Simple Membership 保存型XSS）
• ▸WPScan - Simple Membership < 4.7.8 の脆弱性情報
• ▸CVEレコード - CVE-2026-16532（Link Library）
• ▸CVEレコード - CVE-2026-15254（Simply Schedule Appointments）
• ▸CVEレコード - CVE-2026-16289（ProfileGrid）
• ▸CVEレコード - CVE-2026-13340（SVG Support）
• ▸CVEレコード - CVE-2026-16564（Dokan）
• ▸CVEレコード - CVE-2026-16250（Personal QR Message・修正版なし）
• ▸WordPress.org - Personal QR Message（2026年7月21日に配布停止）
• ▸WordPress.org - LogMyTrip（2026年7月23日に配布停止）
• ▸WordPress.org - SoftMarket（2026年7月6日に配布停止）
• ▸Synology-SA-26:12（CVE-2026-4793 / 発見者クレジット）
• ▸NVD - CVE-2026-18588 Detail（Wavlink WL-NU516U1）
• ▸CISA - Known Exploited Vulnerabilities Catalog（2026年7月29日版 / 1656件を照合）