WordPress脆弱性27件、ログイン不要で管理者乗っ取り CVE-2026-15930

2026年8月3日、WordPressの拡張機能（プラグイン）の脆弱性27件が、WPScanからNVDへ一度に登録されました。会員制サイトを運営している人にとって最も直接的なのは、有料会員機能を追加するSimple Membershipの欠陥です。ログインしていない相手が、サイトの管理者アカウントに紐づくメールアドレスを自分のものに書き換え、パスワード再発行を使って管理画面ごと乗っ取れます。導入数は40,000サイト以上です。

規模で最も大きいのは、画像ファイルの一種であるSVGをWordPressにアップロードできるようにするSVG Supportで、100万サイト以上が使っています。ほかに顧客情報を扱うSimply Schedule Appointments（60,000以上）、会員データの一括登録に使うImport and export users and customers（70,000以上）、表示速度を改善するClearfy Cache（50,000以上）などが並びます。導入数が公表されている15種を合計するだけで、132万サイト以上が今回のどれかに該当します。

先に要点を3つ書きます。第一に、27件のうち11件は、ログインせずに外から直接叩けます。第二に、7件には修正版が出ておらず、そのうち6種はWordPress.orgでの配布そのものが止まっています。この6種でやることは更新ではなく削除です。第三に、27件とも、NVDには危険度（CVSS）の数値がまだ付いていません。数字で優先順位を決められないので、この記事ではログインが要るか要らないかを軸に並べます。同じ形のまとめは7月29日の9件、7月28日の18件、7月23日の4件でも出しています。

なお、報告元であるWPScanの記載と実態が食い違っているものが1件ありました。Blog Floating Buttonは「修正版なし」と公表されていますが、実際には7月31日公開の1.4.21で修正されています。配布元のソースコードを取得して差分を確認しました。詳しくは後述します。

27件で何が起きたのか

27件は、性質が二つに分かれます。誰でも外から直接叩ける11件と、そのサイトに何らかのアカウントを持っている必要がある16件です。前者はインターネットにつながっているだけで狙われるため、対処の順番は自動的に決まります。

ログイン不要の11件の中身は、管理者アカウントの乗っ取り（Simple Membership）、データベースへの不正な問い合わせ（Link Library、LogMyTrip、Super Store Finder）、サーバー上で動く不正なファイルの設置（Webinfos、Personal QR Message）、他人になりすましてのログイン（SoftMarket、ChamaWP）、管理画面に仕込まれる不正なスクリプト（Simple Membership、Blog Floating Button）、そしてプログラムの内部構造を悪用した乗っ取り（ChamaWP）です。狙われる側に前提条件が一切ないため、自動化された機械的なスキャンの対象になりやすいのが特徴です。

残る16件は、投稿者・編集者・購読者といった権限のアカウントが必要なものです。「アカウントが要るなら安全」と考えたくなりますが、そうとも限りません。会員登録を開放しているサイト、複数人で記事を書いているメディア、受講者が自分で登録できるオンライン講座サイトでは、攻撃者側がそのアカウントを正規の手順で取得できます。Academy LMSの件（CVE-2026-16563）は、まさに受講者が自分で作れるアカウントから、非公開のレッスン内容が読み取れるというものです。

27件はすべてWordPress本体ではなく拡張機能側の問題です。該当する拡張機能を入れていないサイトには影響がありません。本体側の話はWordPress本体の脆弱性まとめで別に扱っています。

対象と対処の早見表

自分のサイトが該当するかを一目で確認できるよう、27件を並べました。上からログイン不要のものです。導入数はWordPress.orgのプラグインAPIで取得した概数で、配布が止まっているものと同サイトで配布されていないものは取得できないため空欄にしています。危険度の欄がすべて「未付与」なのは、NVDに数値が登録されていないためで、記事の側で数字を補うことはしていません。

Super Store FinderはWordPress.orgでは配布されていない有料商品のため、導入数を確認できませんでした。配布が止まっている6種（LogMyTrip、SoftMarket、Webinfos、Personal QR Message、Insert or Embed Articulate Content、SM Page Duplicator）も、配布停止の告知ページに導入数が表示されないため取得できません。数字を出していない箇所は「調べたが分からなかった」という意味です。

誰が狙い、何をして、何が失われるか

この種の欠陥を最初に踏みに来るのは、特定の誰かを狙った犯行ではありません。世界中のWordPressサイトを片っ端から機械的に巡回している、自動化されたプログラムです。人間が「このサイトを狙おう」と選ぶのではなく、拡張機能の名前とバージョンだけを見て、条件に合うサイトを機械が拾い上げていきます。今回のように公開情報として穴の場所が明記されると、その巡回リストに翌日から新しい項目が加わります。会員数が数十人の個人ブログでも、無関係ではありません。

巡回で当たりを引いた後にやることは、多くの場合ひとつです。サイトの中に、後からいつでも入り直せる裏口を作ること。今回でいえば、Simple Membershipの件で管理者のメールアドレスを自分のものに書き換えて管理画面ごと奪う、WebinfosやPersonal QR Messageの件でサーバー上に自分のプログラムファイルを置く、といった形です。裏口さえ確保できれば、後は時間をかけて中身を漁れます。

失うものは、サイトを使う側と運営する側で違います。会員として登録している人の側では、名前・メールアドレス・決済に関する記録が持ち出される可能性があります。今回はSimply Schedule Appointmentsで予約客の個人情報が、Academy LMSで購入していない講座の内容が、ProfileGridでグループへの参加申請者の一覧が、それぞれ本来見られない相手に見えてしまう欠陥が含まれています。運営する側では、乗っ取られたサイトが知らないうちに詐欺サイトへの誘導や不正なメール送信の踏み台にされ、検索結果から除外されたり、ドメインの信用そのものを失ったりします。この段階まで進むと、復旧には数日から数週間かかります。だから、対処は「更新するだけ」で済むうちに終わらせるのが圧倒的に安上がりです。

ログインせずに狙える11件

ここから個別に見ていきます。まずログイン不要の11件です。該当する拡張機能を使っているなら、今日のうちに手を打つべきものです。

CVE-2026-15930: Simple Membershipで管理者アカウントごと奪われる

Simple Membershipは、WordPressのサイトに有料会員制の仕組みを追加する拡張機能です。記事の一部を会員だけに見せたり、月額の課金を管理したりする用途で、40,000サイト以上が使っています。

4.7.8より前のバージョンには、新しい会員を作る処理に不備がありました。会員を新規作成する関数が失敗したときの戻り値をチェックせず、そのまま利用者の識別番号として扱ってしまいます。この性質を利用すると、攻撃者は既存の管理者アカウントに登録されているメールアドレスを、自分のアドレスに上書きできます。あとはWordPressの標準機能である「パスワードをお忘れですか」を押すだけで、再設定用のリンクが攻撃者の手元に届きます。ログインは一切必要ありません。WPScanの評価は10点満点中9.4で、今回の27件で最も高い数字です。

修正版は4.7.8で、記事執筆時点の最新は4.7.9です。NVDの登録内容を確認しましたが、危険度の数値はまだ付いていません。「NVDにスコアがないから深刻ではない」という読み方は、この件に関しては明確に間違いです。

CVE-2026-15931: Simple Membershipの管理画面に外から罠を仕込める

同じSimple Membershipの、同じ4.7.8で直っているもう1件です。こちらは決済の承認通知に含まれる「購読者名」を、そのまま管理画面に表示していました。名前として送られてきた文字列を安全な形に変換していないため、攻撃者が名前欄にプログラムのコードを紛れ込ませると、それが管理者のブラウザ上で実行されます。管理者がたまたま会員一覧を開いただけで作動する仕掛けです。

この手口は「格納型クロスサイトスクリプティング」と呼ばれ、罠が一度サイトに保存されると、管理者がその画面を開くたびに繰り返し作動します。悪用されると新しい管理者アカウントを勝手に作られるところまで進み得ます。決済の承認通知はログイン不要で送れる経路なので、外部からの仕込みが可能です。WPScanの評価は8.8。前項と同じ更新で両方とも塞がります。

CVE-2026-16532: Link Libraryのリンク投稿フォームからデータベースを覗ける

Link Libraryは、サイトにリンク集のページを作り、訪問者からのリンク投稿も受け付けられる拡張機能です。10,000サイト以上が使っています。7.9.3より前のバージョンでは、その投稿フォームから送られた値を、データベースへの問い合わせ文にそのまま組み込んでいました。

結果として、フォームに特殊な書き方の文字列を入れると、開発者が意図していない問い合わせをデータベースに実行させられます。会員のメールアドレス、パスワードを保管している値、非公開の記事など、そのサイトのデータベースに入っているものは原則として取り出せる状態です。この手口は「SQLインジェクション」と呼ばれ、20年以上前から知られている古典的なものですが、いまだに最も被害の大きい種類のひとつです。WPScanの評価は8.6。修正版は7.9.3、最新は7.9.4で、更新履歴にも「潜在的なセキュリティ上の問題を修正」と記載されています。

CVE-2026-15383: Blog Floating Buttonは「修正版なし」と公表されているが、実は直っている

ここが今回、報告元の記載と実態が食い違っていた箇所です。Blog Floating Buttonは、画面に追従するボタンを設置し、あわせてアクセス解析も行う拡張機能で、9,000サイト以上が使っています。

1.4.20以下では、訪問者のブラウザが送ってくる「ユーザーエージェント」という自己申告の文字列を、管理画面のアクセス解析レポートにそのまま表示していました。この文字列は訪問者側が自由に決められるので、プログラムのコードを名乗った訪問がひとつあるだけで、管理者がレポート画面を開いた瞬間にそれが動きます。ログインは不要です。

WPScanのアドバイザリは「修正版なし」と書いています。しかしWordPress.orgには1.4.21が7月31日に出ています。どちらが正しいのかを確かめるため、配布元の公式ソースコード置き場から1.4.20と1.4.21の全ファイルを取得し、差分を突き合わせました。

結果は修正済みでした。1.4.20では管理画面のレポート出力部分（inc/report/report-detail-access.php）がユーザーエージェントの値を無変換のまま埋め込んでいましたが、1.4.21では表示前に無害化する処理に置き換わっています。値を受け取る側も、記録する処理を含む4箇所すべてに入力の浄化処理が加わっていました。1.4.21の更新履歴にも「アクセス解析レポート画面の格納型クロスサイトスクリプティングを修正」と明記されています。

食い違いの理由は日付を並べると分かります。WPScanがこの件を公表したのが7月24日、修正版1.4.21が出たのが7月31日です。公表の後に修正版が出たため、アドバイザリ側の記載が追いついていないだけでした。使っている人がやることは単純で、1.4.21へ更新すれば済みます。「修正版がないから削除するしかない」と判断する必要はありません。

CVE-2026-16572: LogMyTripは修正版がなく、配布も止まっている

LogMyTripは旅行の記録を表示する拡張機能です。1.9以下、つまり存在する全バージョンで、ブラウザに保存されている小さなデータ（クッキー）の中の値を、そのままデータベースへの問い合わせに使っていました。ログインしていない相手が、クッキーの値を書き換えるだけでデータベースを操作できます。しかも、このプラグインの短い記述コードを埋め込んだページであれば、どのページからでも成立します。

WPScanの評価は8.6で「修正版なし」。WordPress.orgのプラグインAPIを直接叩いたところ、closed_date: 2026-07-23 が返ってきました。WPScanが公表した7月24日の前日に、配布そのものが止まっています。最終更新は11年前、動作確認済みのWordPressバージョンは4.1系という状態です。修正版が出る見込みはほぼありません。入れているなら削除してください。

CVE-2026-12965: Super Store Finderの店舗検索からデータベースを操作できる

Super Store Finderは、地図上に店舗の一覧を表示する有料の拡張機能です。7.8以下の全バージョンで、ログイン不要で呼び出せる集計用の処理に渡された値を検証しておらず、データベースへの不正な問い合わせが通ります。WPScanの評価は8.6、修正版は出ていません。

この製品はWordPress.orgではなく販売プラットフォーム経由で配布されているため、導入数を外から数える手段がありません。実店舗を持つ企業のサイトで使われているケースが多い性質の製品です。使っているなら販売元に修正版の予定を問い合わせ、それまでは該当機能を止めるのが確実です。

CVE-2026-14557: SoftMarketは他人になりすましてログインできる

SoftMarketはデジタル商品の販売サイトを作る拡張機能です。1.0.0以下の全バージョンで、メールアドレス確認用の認証情報の検証が不十分でした。ログインしていない相手が、他人のアカウントとしてサイトに入れます。WPScanの評価は9.1で、今回の27件のうち2番目に高い数字です。

修正版はなく、WordPress.orgでの配布も2026年7月6日に止まっています。理由は「全面的な見直しのための一時的な措置」とされています。削除以外の対処はありません。

CVE-2026-12872: Webinfosは誰でもサーバーにファイルを置ける

Webinfosは1.2以下の全バージョンで、ファイルのアップロード処理に認証も権限確認もファイル種別の検査も入っていませんでした。誰でも、サーバー上で実行されるプログラムファイルを、外から見える場所に置けます。これは実質的に、サーバーを自由に操作できる状態を与えるのと同じです。

WPScanは「修正版なし」としています。WordPress.orgでの配布は7月21日に停止済み、最終更新は10年前です。導入数は配布停止により確認できませんが、10年間更新されていない拡張機能を今も動かしているサイトがあるとすれば、それ自体が危険な状態です。

CVE-2026-16250: Personal QR Messageも同じ形の欠陥

Personal QR MessageはQRコード付きのメッセージを作る拡張機能で、1.0以下の全バージョンが対象です。ファイル種別の制限がないアップロード処理があり、ログインしていない相手が置いたプログラムファイルに直接アクセスして実行できます。前項のWebinfosと同じ構図です。

修正版はなく、WordPress.orgでの配布も7月21日に停止しています。最終更新は4年前、WPScanが把握している導入数は0でした。実害の見込みは小さいものの、万一入っているなら削除が唯一の対処です。報告者はJoão Ramos Maciel氏です。

CVE-2025-15672 / CVE-2026-16300: ChamaWPの2件はどちらもログイン不要

ChamaWPは寄付・会員費・クラウドファンディングを扱う拡張機能です。導入数は10以上と小規模ですが、2件とも性質が重いので個別に触れておきます。なお、この拡張機能のWordPress.org上の識別名は製品名と異なり chama です。

CVE-2025-15672は、外部から受け取ったデータを検証せずにPHPの復元処理に渡していたというものです。この処理は、文字列として保存されたデータを元のプログラム上の値に戻す機能で、悪意ある文字列を渡されると、サイト内にある別のコードと組み合わさって攻撃者の意図した動作を起こし得ます。WPScanの評価は8.1です。

CVE-2026-16300はより直接的で、パスワード再設定の要求を正しく検証していませんでした。ログインしていない相手が、管理者を含む任意の利用者のパスワードを再設定できます。WPScanのアドバイザリのタイトルもそのまま「無認証での任意ユーザーのパスワードリセット」です。2件とも1.0.13で修正されています。

100万サイトが使うSVG Support、圧縮形式の抜け道が残っていた

SVG Support（CVE-2026-13340）は、今回で導入規模が突出しています。100万サイト以上。WordPressは標準ではSVGという形式の画像ファイルをアップロードできない仕様になっており、これを許可するのがこの拡張機能の役割です。

なぜ標準で禁止されているかというと、SVGは画像でありながら、中身は文字で書かれた設計図のような形式で、プログラムのコードを書き込めてしまうからです。そのためSVG Supportは、アップロードされたファイルから危険な記述を取り除く「浄化」処理を持っています。

2.5.17より前のバージョンでは、この浄化処理が.svgz という拡張子のファイルに適用されていませんでした。.svgz はSVGを圧縮した形式で、プラグイン自身はこれをSVGとして登録し配信するのに、浄化だけは素通りさせていたわけです。結果として、圧縮しておくだけで検査を回避してコードを持ち込めました。

悪用には投稿者以上の権限が必要です。ただし、そのファイルを後から閲覧した人のブラウザ上でコードが動くため、管理者が確認した時点で管理者の権限を奪う方向へ進み得ます。複数人で記事を書いているメディアや、外部ライターに投稿者権限を渡している運用では、現実的な脅威です。WPScanの評価は6.8、報告はShivamani Vastrala氏、調整はAutomattic所属のErwan Le Rousseau氏によるものです。

修正版は2.5.17、最新は2.6.1（7月25日公開）です。ひとつ注意点があります。2.5.17の更新履歴には、今回のCVE-2026-13340という番号は書かれていません。そこに書かれているのはCVE-2024-10222とCVE-2023-6708という過去の番号で、「以前の修正を完結させるもの」という文脈で説明されています。更新履歴をCVE番号で検索しても該当が出ないため、対応済みかどうかはNVDの記載とバージョン番号で判断してください。過去2回の修正で塞ぎ切れていなかった抜け道が、3回目でようやく埋まった、という経緯の案件です。

アカウントを持つ相手が狙える残り15件

アカウントが必要な16件のうち、SVG Supportは前章で扱ったので、残る15件を見ていきます。会員登録を開放していないサイトなら優先度は下がりますが、開放しているなら話は別です。導入数の大きい順に並べました。

CVE-2026-16534: Import and export usersで一般ロールから管理者に昇格できる

Import and export users and customersは、会員データを表計算ファイルから一括登録する拡張機能で、70,000サイト以上が使っています。2.4.2より前のバージョンでは、一括登録時に割り当てる権限のチェックと、既存の利用者を編集してよいかの確認が不十分でした。

「利用者を作成する権限」だけを与えられたアカウントから、管理者アカウントを新規に作ったり、既存の管理者のメールアドレスとパスワードを上書きしたりできます。WPScanはこれを「カスタムロールから管理者への権限昇格」と呼んでおり、評価は7.2です。会員管理の担当者に限定的な権限だけを渡している運用ほど、この抜け道が効きます。修正版は2.4.2、最新は2.4.9です。

CVE-2025-15673: 同じプラグインのファイル読み取り（管理者権限が必要）

同じ拡張機能の2.4.3より前のバージョンには、一括登録に使うファイルの場所を制限していない問題があります。サーバー上の本来読めないファイルを指定して読み出せますが、実行には管理者権限が必要です。管理者はもともとサイト内で強い権限を持っているため、実害は限定的です。WPScanの評価も4.9と控えめ。ただし2.4.3へ更新すれば前項と併せて両方塞がるので、上げ幅を惜しむ理由はありません。

CVE-2026-15254: Simply Schedule Appointmentsで予約客の個人情報が漏れる

Simply Schedule Appointmentsは面談や来店の予約を受け付ける拡張機能で、60,000サイト以上が使っています。1.6.12.11より前では権限の確認が不足しており、寄稿者権限のアカウントから、予約した顧客の個人情報を読み出せます。予約システムを置いているサイトは、その性質上、氏名・連絡先・来店理由といった情報を抱えています。WPScanの評価は2.7と低いのですが、これは攻撃に権限が要る点を織り込んだ数字で、漏れる情報の性質を反映したものではありません。修正版は1.6.12.11、最新は1.6.12.13です。

CVE-2026-16297: Clearfy Cacheは開発終了済み、2.4.3が最後の版

Clearfy Cacheは表示速度を改善する拡張機能で、50,000サイト以上が使っています。2.4.3より前では、設定の読み込み処理でデータの復元を行う際に、対象を安全なものに限定していませんでした。ChamaWPの1件目と同じ種類の欠陥です。ただし実行には管理者権限が必要なため、実質的な危険度は下がります。

注意すべきはむしろプラグインの将来です。Clearfy Cacheは2025年10月にSuper Page Cacheに買収され、開発の終了が告知されています。配布ページ自体は生きているものの、2.4.3が事実上の最終版になる見込みです。50,000サイトが、今後修正が出ない拡張機能を抱えていることになります。更新が止まったソフトウェアをどう扱うかという問題は、OSSサプライチェーン スキャナーでも整理しています。

CVE-2026-15231: TaxoPressで非公開の記事が読める

TaxoPressはタグとカテゴリを管理する拡張機能で、40,000サイト以上が使っています。3.51.0より前では、寄稿者権限のアカウントから、下書きや非公開の記事の内容を読み出せます。WPScanの評価は2.7。公開前の情報を扱う編集部やIR担当のサイトでは、意味を持つ穴です。なお、この拡張機能はNVD上では「Tag, Category, and Taxonomy Manager」という別名で記載されており、WordPress.org上の識別名は simple-tags です。修正版は3.51.0です。

CVE-2026-16564 / CVE-2026-16565: Dokanで他の出店者の注文と商品をいじれる

Dokanは、ひとつのサイトに複数の店舗が出店する形式のネットショップを作る拡張機能で、30,000サイト以上が使っています。5.0.9より前の2件は、どちらも「その注文・その商品が本当に自分のものか」の確認が抜けていたというものです。

CVE-2026-16564は注文の一括操作の入口で所有者を確認しておらず、出店者アカウントを持つ相手が、他の出店者の注文の処理状況を変更できます。CVE-2026-16565は商品の属性を書き込む入口で同じ確認が抜けており、他店の商品情報を書き換えられます。どちらもWPScanの評価は4.3。出店者は誰でもなれるわけではありませんが、開放型のマーケットプレイスを運営しているなら、悪意ある出店者が正規に申し込むだけで条件が揃います。2件とも5.0.9で修正済み、最新は5.0.11です。

CVE-2026-16274 / CVE-2026-16276: Classified Listingで非公開情報と売上が見える

Classified Listingは求人や中古品の掲載サイトを作る拡張機能で、9,000サイト以上が使っています。5.4.4より前の2件はどちらも権限確認の漏れです。

CVE-2026-16274は、記事の本文を返す処理に権限と所有者の確認がなく、寄稿者権限のアカウントから、他人の下書き・承認待ち・非公開の投稿をすべて読み出せます。CVE-2026-16276は売上検索の処理に権限確認がなく、サイト全体の売上合計が見えます。どちらもWPScanの評価は2.7ですが、掲載サイトは投稿者を広く受け入れる設計になっていることが多く、寄稿者権限のアカウントは取得しやすい部類です。5.4.4で両方修正済み、最新は6.0.0です。

CVE-2026-16289: ProfileGridでグループへの参加申請者が丸見えになる

ProfileGridは会員プロフィールとグループ機能を提供する拡張機能で、5,000サイト以上が使っています。6.0.0.0より前では、グループへの参加申請一覧を返す処理に権限確認がありませんでした。購読者、つまり最も低い権限のアカウントひとつで、非公開グループを含むすべてのグループの参加申請者の氏名と申請日が読み取れます。会員登録を開放しているサイトなら、攻撃者は自分でアカウントを作れば条件を満たします。修正版は6.0.0.0、最新は6.0.0.1です。

CVE-2026-15260: GEO my WPで他人の位置情報を書き換えられる

GEO my WPは地図表示と現在地からの検索を提供する拡張機能で、3,000サイト以上が使っています。4.5.5.3より前では、位置情報を扱う処理に所有者の確認がなく、購読者権限のアカウントから、他の利用者の位置情報の記録を書き換えたり削除したりできます。WPScanの評価は4.3。修正版は4.5.5.3です。

CVE-2026-16563: Academy LMSで購入していない講座の中身が読める

Academy LMSはオンライン講座サイトを作る拡張機能で、2,000サイト以上が使っています。3.8.3より前では、個別のレッスンを返す処理に受講登録の確認も公開状態の確認も入っていませんでした。受講者が自分で作れるアカウントひとつで、購入していない講座や未公開のレッスンの内容が読み出せます。

有料講座を売っているサイトにとっては、そのまま売上に直結する問題です。WPScanの評価は4.3、報告者はPedro Pinho氏。修正版は3.8.3、最新は3.8.5です。

CVE-2026-16060: Insert or Embed Articulate Contentは修正版なし

Insert or Embed Articulate Content into WordPressは、eラーニング教材をサイトに埋め込む拡張機能です。全バージョンで、圧縮ファイルの中身の検査を回避してサーバー上で実行されるファイルを設置できます。実行には編集者権限が必要ですが、成功すればサーバーを自由に操作できる状態になります。

WPScanは「修正版なし」としており、実証コードの公開も修正が出るまで保留しています。WordPress.orgでの配布は7月21日に停止済みで、WPScan側が把握している導入数は約2,000。修正の見込みがないまま2,000サイトが動いていることになります。企業研修や学校のサイトで使われやすい性質の製品です。削除以外の対処はありません。

CVE-2026-16057: Contest Galleryで投稿を勝手に消される

Contest Galleryは写真コンテストや投稿ギャラリーを作る拡張機能で、1,000サイト以上が使っています。30.0.7より前では、動画をライブラリから削除する処理に対象ごとの権限確認も改ざん防止の確認も入っておらず、投稿者権限のアカウントから、サイト上の任意の記事や固定ページを削除できます。WPScanの評価は6.5。コンテストサイトは応募者に投稿権限を配る設計になりがちなので、条件は揃いやすい部類です。修正版は30.0.7、最新は31.0.0です。

CVE-2026-16539: SM Page Duplicatorは7年放置、修正版なし

SM Page Duplicatorは固定ページを複製する拡張機能です。1.0.0以下の全バージョンで、複製の際に保存された値をデータベースへの問い合わせ文にそのまま組み込んでおり、編集者権限のアカウントからデータベースを操作できます。WPScanの評価は6.8、修正版はありません。

WordPress.orgでの配布は2026年6月21日に停止、最終更新は7年前です。バージョンは1.0.0のまま一度も上がっていません。導入数は配布停止により確認できませんが、修正が出る見込みはないので削除してください。

修正版が出ていない7件と、配布が止まった6種

今回の27件のうち、修正版が存在しないのは7件です。LogMyTrip、Super Store Finder、SoftMarket、Webinfos、Personal QR Message、Insert or Embed Articulate Content、SM Page Duplicatorが該当します。そしてSuper Store Finderを除く6種は、WordPress.orgでの配布そのものが止まっています。

停止日を並べると、ある傾向が見えます。SM Page Duplicatorが6月21日、SoftMarketが7月6日、Webinfos・Personal QR Message・Insert or Embed Articulate Contentが7月21日、LogMyTripが7月23日。いずれもWPScanが公表する数日前に止まっています。告知文はどれも同じで、「全面的な見直しのための一時的な措置」。つまり、報告を受けたWordPress.org側が、開発者からの応答がないか修正の見込みが立たない拡張機能を、公表に先んじて配布リストから外しているということです。

これは利用者にとって意味のある動きです。ただし止められるのは新規のダウンロードだけで、すでに入っているサイトからは何も起きません。配布停止は管理画面に通知されず、更新も来なくなるため、放置されたまま動き続けます。今回の6種の最終更新は、順に7年前・不明・10年前・4年前・12か月前・11年前です。この状態の拡張機能を抱えているかどうかは、自分で確認しないと分かりません。

確認方法は簡単です。WordPressの管理画面でプラグイン一覧を開き、各プラグイン名をクリックして詳細画面が正常に開くかを見ます。配布が止まっているものは詳細を取得できません。OSSサプライチェーン スキャナーでは、この種の「更新が来なくなった部品」をどう洗い出すかを、WordPress以外の環境も含めて扱っています。

今日やること

27件とも、NVDには危険度の数値が付いていません。付くまでに数日から数週間かかることも珍しくないので、数値が出るのを待つ意味はありません。

最初にやるのは、上の早見表と自分のサイトのプラグイン一覧を突き合わせることです。該当がなければ、今回はここで終わりです。該当があった場合、順番はログイン不要の11件が先。特にSimple Membershipを使っているなら、4.7.8以降への更新を今日中に済ませてください。管理者アカウントを外から奪える性質のもので、待つ理由がありません。Link Libraryは7.9.3以降、Blog Floating Buttonは1.4.21以降です。

修正版がない7件に該当した場合、選択肢は削除か、該当機能の停止です。配布が止まっている6種については、修正版を待つ判断はおすすめしません。10年前・11年前が最終更新という状態は、開発者がすでにその拡張機能から離れていることを示しています。

その上で、すでに侵入されていないかの確認をしておくと安全です。管理者権限の利用者一覧に見覚えのないアカウントがないか、管理者のメールアドレスが自分のものになっているか、wp-content/uploads 配下に .php のファイルが置かれていないか。更新は今後の侵入を防ぐだけで、すでに置かれた裏口は消えません。この点は、パッチを当てても設置済みの不正なファイルは残るという、シスコの電話基盤で実際に起きた事例と同じ構図です。

今回の27件は、いずれも8月3日時点でCISAの悪用確認済み脆弱性カタログには載っていません。実際に攻撃されている証拠は、現時点では公表されていないということです。ただし、これは「まだ」の話です。公開情報として穴の位置が示された以上、自動化された巡回がここを見に来るまでの時間は、そう長くありません。

参照元

• ・NVD — CVE-2026-15930（Simple Membership）
• ・NVD — CVE-2026-15931（Simple Membership）
• ・NVD — CVE-2026-16532（Link Library）
• ・NVD — CVE-2026-15383（Blog Floating Button）
• ・NVD — CVE-2026-16572（LogMyTrip）
• ・NVD — CVE-2026-12965（Super Store Finder）
• ・NVD — CVE-2026-14557（SoftMarket）
• ・NVD — CVE-2026-12872（Webinfos）
• ・NVD — CVE-2026-16250（Personal QR Message）
• ・NVD — CVE-2025-15672（ChamaWP）
• ・NVD — CVE-2026-16300（ChamaWP）
• ・NVD — CVE-2026-13340（SVG Support）
• ・NVD — CVE-2026-16534（Import and export users）
• ・NVD — CVE-2025-15673（Import and export users）
• ・NVD — CVE-2026-15254（Simply Schedule Appointments）
• ・NVD — CVE-2026-16297（Clearfy Cache）
• ・NVD — CVE-2026-15231（TaxoPress）
• ・NVD — CVE-2026-16564（Dokan）
• ・NVD — CVE-2026-16565（Dokan）
• ・NVD — CVE-2026-16274（Classified Listing）
• ・NVD — CVE-2026-16276（Classified Listing）
• ・NVD — CVE-2026-16289（ProfileGrid）
• ・NVD — CVE-2026-15260（GEO my WP）
• ・NVD — CVE-2026-16563（Academy LMS）
• ・NVD — CVE-2026-16060（Insert or Embed Articulate Content）
• ・NVD — CVE-2026-16057（Contest Gallery）
• ・NVD — CVE-2026-16539（SM Page Duplicator）
• ・WPScan — WordPress Plugin Vulnerability Database
• ・WordPress.org SVN — Blog Floating Button のタグ一覧（1.4.20 / 1.4.21 の差分確認に使用）
• ・WordPress.org SVN — SVG Support の更新履歴（2.5.17 の記載確認に使用）
• ・CISA — Known Exploited Vulnerabilities Catalog