WordPress脆弱性10件、20万サイト対象も修正は配布済み CVE-2026-9273

2026年8月5日、WordPressの拡張機能（プラグイン）の脆弱性が10件まとめて公表されました。最も重いのは会員制サイト用のKadence Membershipsで、ログインしていない相手に、管理者のパスワードを再設定する仕組みを乗っ取られます。共通脆弱性番号は CVE-2026-9273、危険度はCVSS 9.3（10点満点）。

ただし、この10件には落ち着いて読める共通点があります。10件とも、修正版はすでに配布されています。しかも今日出たばかりではありません。Kadence Membershipsの修正版は5月26日、Dokanは5月21日に公開されています。番号が付いたのが今日というだけで、穴そのものは2か月半前に塞がれていました。

つまり危ないのは、自動更新を切ったまま放置しているサイトだけです。管理画面を開いて更新が溜まっていないかを確かめれば、それで終わる話でもあります。ただし、対象には20万サイトが使うPrettyLinksと10万サイトが使うRelevanssiが含まれており、放置している数が少ないとは言えません。

対象と対処の早見表

自分のサイトが該当するかを一目で確認できるよう、10件を並べました。上からログインが不要なものです。導入数はWordPress.orgの公式APIで取得した概数で、現行版と更新日も同じ日（8月5日）に確認しています。

危険度の順に並べると、導入数が最も多いPrettyLinksが最下位に来ます。数字だけで優先順位を付けると、20万サイトが使うものが後回しになる、という並びです。逆に9.3のKadence Membershipsは9,000サイト。危険度と影響範囲は、別々に見る必要があります。

誰が狙い、何をして、何が失われるか

この手の脆弱性を拾うのは、特定の誰かを狙うのではなく、条件に合うサイトを機械的に探し回る攻撃者です。プラグイン名とバージョンは、サイトを外から見るだけである程度わかります。「このプラグインの、この版が入っているサイト」を一覧で集め、上から順に試す。人手はほとんどかかりません。

彼らがやることは、管理者アカウントを一つ手に入れて、サイトを自分の持ち物にすることです。今回のKadence Membershipsの件がまさにそれで、パスワードの再設定という誰にでも開かれた入り口から入ります。手に入れたサイトは、そのまま偽の通販ページに使われたり、訪問者をだます広告の中継地点にされたり、他所を攻撃するための踏み台にされたりします。

失われるものは、サイトを運営している側と、そのサイトを使う側で違います。運営側は、サイトそのものと、そこに溜めた顧客情報を失います。会員制サイトなら会員の氏名とメールアドレス、ネット販売なら注文履歴です。訪問した側は、自分が信用して入力した情報が、いつの間にか別の場所へ送られていた、という形で巻き込まれます。気づくのは、たいてい誰かに指摘されてからです。当サイトでは50万サイトが使うKirkiで実際に悪用が始まった件も扱っていますが、そちらも入り口はパスワードの再設定でした。

ログインせずに狙える4件

CVE-2026-9273: Kadence Membershipsで管理者のパスワード再設定を横取りされる

10件で最も重い1件です。Kadence Membershipsは、記事や機能を有料会員だけに見せるためのプラグインで、以前は「Restrict Content」という名前でした。4.0.0以前が対象です。

仕組みはこうです。パスワードを忘れた人が再設定を申し込むと、サイトから再設定用のリンクがメールで届きます。このとき、リンクの宛先となるサイトのアドレスが、申し込んだ側の指定した値で組み立てられていました。攻撃者は管理者のアカウントに対して再設定を申し込み、リンクの行き先を自分のサーバーに向けておきます。管理者のもとには本物そっくりのメールが届き、そこに書かれたリンクを踏んだ瞬間、再設定用の鍵が攻撃者の手に渡ります。

深刻度の記号は CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N。PR:N は攻撃側にログインが要らないこと、UI:R は被害者がリンクを踏む必要があることを示します。完全な無操作で成立するわけではありませんが、届くのは自分のサイトからの本物のメールです。疑う理由がほとんどありません。

修正版の4.0.1は5月26日に出ています。変更履歴には「パスワード復旧のセキュリティ対策を強化」と書かれており、CVE番号は使われていません。通常の更新として静かに配られていたことになります。

CVE-2026-15918: VikAppointmentsの口コミ一覧からデータベースを覗ける

美容室やクリニックの予約を受け付けるプラグインです。公開されている口コミ一覧の並び順を指定する項目が、そのままデータベースへの命令に混ぜられていました。CVE-2026-15918、危険度7.5。ログインは不要で、特別な権限も要りません。予約サイトである以上、中には利用者の氏名・連絡先・来店履歴が入っています。1.2.19以前が対象、1.2.20で修正済みです。

CVE-2026-16143: VikRentItemsの予約フォームに罠を仕込める

機材やイベント用品のレンタルを管理するプラグインで、同じ開発元のものです。CVE-2026-16143、危険度7.2。予約フォームのメールアドレス欄に、表示されるとそのまま動く命令文を書き込めるという内容です。書き込まれた内容はサイト側に保存されるため、管理画面で予約を確認した担当者の画面で動きます。1.2.1以前が対象、1.2.2で修正済みです。

CVE-2026-8790: Football Poolの投稿欄で入力がそのまま跳ね返る

サッカーの試合予想を集計するプラグインです。CVE-2026-8790、危険度6.1。ひとこと投稿欄の内容が、送信に失敗したときの再表示で、そのまま画面に戻されていました。細工したリンクを踏ませる形の攻撃です。2.13.4以前が対象で、修正版の2.13.5は5月20日に出ています。今回の10件で最も古い修正です。

アカウントを持つ相手が狙える5件

CVE-2026-8761: Dokanで出店者が他の利用者アカウントを操作できる

Dokanは、WooCommerceで動くネットショップを、複数の出店者が並ぶモール型に変えるプラグインです。導入数は30,000以上。CVE-2026-8761、危険度8.8。

顧客情報を扱う窓口に権限の確認が抜けており、出店者として登録している相手が、他の利用者——管理者を含みます——の情報を読み、書き換え、消せる状態でした。モール型の仕組みは、見知らぬ相手に出店者アカウントを配ることが前提です。「アカウントが要る」という条件が、この製品ではほとんど障壁になりません。

修正は5.0.3で、開発元のweDevsが5月21日に公開しています。変更履歴には「顧客情報の窓口を本人のみに制限し、出店者が他の利用者アカウントを変更できないようにした」とあり、こちらもCVE番号や「セキュリティ」の語は使われていません。現行版は5.0.12です。

CVE-2026-7753: Cost Calculator Builderで決済の秘密鍵ごと持ち出される

危険度は6.5と中位ですが、持ち出されるものが重い1件です。CVE-2026-7753。見積もりフォームを作るプラグインで、設定の書き出し機能に権限の確認が抜けていました。

必要なのは購読者権限——つまり、誰でも登録できるようにしているサイトなら、登録した直後の状態です。そこから書き出せる設定の中に、StripeやPayPalなど決済サービスに接続するための秘密の鍵が含まれています。サイトを乗っ取られるわけではありませんが、決済の裏口を渡すのに近い話です。3.6.17以前が対象、現行版は4.0.14です。

CVE-2026-15941: Relevanssiの検索機能から非公開の内容を探れる

今回の10件で2番目に導入数が多い、100,000サイト以上が使うサイト内検索の改善プラグインです。CVE-2026-15941、危険度6.5。管理画面の検索機能で、分類（タグやカテゴリ）を指定する部分の値が、データベースへの命令に組み込まれる前に処理されていませんでした。必要な権限は寄稿者相当で、複数人で記事を書いているサイトが対象になります。無料版は4.27.1以前、有料版は2.30.2以前が対象です。

CVE-2026-11421: WP ERPの絞り込み条件からデータベースへ命令を送れる

人事・会計・顧客管理を1つにまとめた業務用プラグインです。CVE-2026-11421、危険度6.5。顧客管理の絞り込み条件を受け取る部分の処理が足りていませんでした。1.17.4以前が対象、現行版は1.17.7です。開発元はDokanと同じweDevsで、今回の10件のうち2件が同じ会社の製品ということになります。

CVE-2026-18322: Smart Popupは、必要な権限の記述が食い違っています

この1件だけ、公開されている情報の中で説明が割れています。CVE-2026-18322、危険度8.8。

説明文のほうには、成立の道筋まで書かれています。メール購読の確認メールに含まれる使い捨ての鍵を拾い、それを使って管理画面用の窓口へ細工した要求を送る、という流れです。この道筋であれば、確かにログインは不要になります。記号のほうが実態に追いついていない可能性が高いのですが、当サイトとして断定はできません。

どちらが正しいにせよ、やることは同じです。1.12.0以前なら1.13.0へ上げる。修正版は7月31日に出ています。

CVE-2026-5062: PrettyLinksは管理者だけが使える1件

導入数200,000以上と、今回で最も広く使われているプラグインです。リンクを短くして、クリック数を数えるために使われます。CVE-2026-5062、危険度は4.9と10件で最も低い。一覧ページの検索欄が、データベースへの命令に組み込まれる前に処理されていませんでした。

必要な権限は管理者です。管理者はもともとサイト内で何でもできるので、この1件だけで新しく何かを奪えるわけではありません。危険度が4.9にとどまっているのはそのためです。ただし管理者アカウントを1つ乗っ取られた後の被害を広げる材料にはなります。3.6.20以前が対象、現行版は4.0.14です。

修正はとっくに配られていました

この10件で最も押さえておく価値があるのは、個々の中身よりも時間差です。

この時間差には理由があります。脆弱性を見つけた側は、まず開発元に知らせます。開発元が直して配り、利用者に行き渡るだけの時間を置いてから、内容が公表されます。公表を遅らせるのは、まだ直していないサイトを守るためです。今回の10件は、その手順どおりに進んだ結果です。

裏を返すと、公表された今この瞬間から、危険度は上がります。どこにどんな穴があるかが公開されたので、条件に合うサイトを探す作業が誰にでもできるようになりました。修正から2か月半が経っているということは、その間ずっと更新していないサイトは、これから探される側に回るということです。

なお、開発元の変更履歴を読んでも、多くの場合これが脆弱性の修正だとは分かりません。Dokanは「顧客情報の窓口を本人のみに制限した」、Kadence Membershipsは「パスワード復旧のセキュリティ対策を強化」。どちらもCVE番号は書かれておらず、普通の改善に見えます。変更履歴を読んで判断する運用では拾えません。結局のところ、更新は溜めずに当てるのが唯一の答えになります。

やるべきこと

WordPressの管理画面を開き、「更新」の欄を確認してください。早見表に載っているプラグインが並んでいたら、それを当てます。10件のうち10件とも修正版が配られているので、更新すれば終わります。配布が止まっているもの、修正版がないものは今回ありません。

自動更新を有効にしていないサイトは、この機会に設定を見直す価値があります。プラグイン一覧の右端から、1つずつ自動更新を有効にできます。今回のように、修正が2か月半前に出ていて誰にも気づかれていない、という形が普通に起きます。

会員登録や出店者登録を受け付けているサイトは、もう一歩踏み込む必要があります。Dokanの件もCost Calculator Builderの件も、アカウントを持つ相手が使える穴です。見知らぬ相手にアカウントを配る仕組みでは、「ログインが要る」という条件は防壁になりません。登録済みのアカウント一覧に、身に覚えのない管理者が増えていないかも確認してください。

同じ形の話として、当サイトでは8月3日に公表された27件や配布そのものが止まっていた6種を含む27件も扱っています。あわせて確認しておくと、更新の取りこぼしが減ります。

まとめ

2026年8月5日、WordPressプラグインの脆弱性10件が公表されました。最も重いのは会員制サイト用のKadence Memberships（CVE-2026-9273、危険度9.3）で、管理者のパスワード再設定を横取りされます。最も広く使われているのはPrettyLinksの200,000サイト、次いでRelevanssiの100,000サイトです。

10件とも修正版は配布済みで、配布が止まったものはありません。しかも修正が出たのは、早いもので5月20日。番号が付いたのが今日というだけです。更新を当てているサイトは、すでに対処が済んでいます。

危険度と影響範囲がきれいに逆を向いているのも、今回の特徴です。9.3のプラグインは9,000サイト、4.9のプラグインは200,000サイト。数字の大きい順に手を付けると、最も多くのサイトが使っているものが最後に回ります。自分のサイトに入っているかどうかで判断するのが、いちばん確実です。

よくある質問

更新を当てていれば大丈夫ですか

10件とも修正版が配られているので、現行版まで上がっていれば対処済みです。早見表の「現行版」の欄と、自分のサイトのバージョンを見比べてください。

すでに攻撃されているのですか

10件のいずれについても、実際に攻撃に使われたという報告は8月5日時点で見つかりません。米政府が実際に攻撃されている脆弱性をまとめた一覧（KEV）にも入っていません。ただし公表されたばかりで、探す動きはこれから始まります。KEVの読み方はCISA KEVダッシュボード（日本語版）にまとめています。

プラグインを消したほうがいいですか

その必要はありません。今回はすべて修正版があります。ただし、使っていないプラグインが有効なまま残っているなら、この機会に無効化して削除しておくと、次に同じ話が起きたときの対象が減ります。

危険度4.9のPrettyLinksは放置していいですか

数字が低いのは、悪用に管理者権限が必要なためです。単独でサイトを奪われる種類ではありませんが、他の経路で管理者を取られた後の被害を広げます。更新できるなら当ててください。

自分のサイトが狙われたか、どこで分かりますか

利用者一覧に見覚えのない管理者が増えていないか、投稿一覧に書いていない記事がないかを確認してください。今回のような入り口を通られた場合、最初に現れる変化はその2つです。

参照元

• ▸NVD CVE-2026-9273（Kadence Memberships）
• ▸NVD CVE-2026-8761（Dokan）
• ▸NVD CVE-2026-18322（Smart Popup by Supsystic）
• ▸NVD CVE-2026-15918（VikAppointments）
• ▸NVD CVE-2026-16143（VikRentItems）
• ▸NVD CVE-2026-7753（Cost Calculator Builder）
• ▸NVD CVE-2026-15941（Relevanssi）
• ▸NVD CVE-2026-11421（WP ERP）
• ▸NVD CVE-2026-8790（Football Pool）
• ▸NVD CVE-2026-5062（PrettyLinks）
• ▸Dokan v5.0.3 リリースノート（weDevs）（2026年5月21日）
• ▸Kadence Memberships 変更履歴（readme.txt）（4.0.1の記載）
• ▸WordPress.org プラグインディレクトリ（導入数・現行版・更新日を2026年8月5日に取得）
• ▸Wordfence Threat Intelligence（10件の採番元）