2026年8月29日、The Hacker Newsは、WordPressで利用されるWPMU DEV Dashboard、Avada、TranslatePress、Pods、GiveWPに、深刻度「Critical」の脆弱性が報告されたと伝えました。5件の脆弱性は、認証を回避して管理者権限を取得するものから、サーバー上で任意のコードを実行できるものまで内容が異なります。条件を満たす脆弱な環境では、Webサイト全体を乗っ取られる可能性があるため、該当するプラグインやテーマを利用している管理者はバージョンと設定状況の確認が必要です。
The Hacker News：Five Critical WordPress Plugin and Theme Flaws Enable Site Takeover or RCE
この記事のポイント
影響のあるシステム
- WPMU DEV Dashboard：5.0.1以前。CVE-2026-76581。WPMU DEVに接続され、Hub SSOが有効で、SSOが管理者アカウントに紐付いている環境が対象です。
- Avada：7.16以前。CVE-2026-18431。Fusion Builder 3.16以前がインストールされ有効な環境が対象で、悪用成立には追加条件もあります。
- TranslatePress – Translate Multilingual sites with AI Translation：3.3.1以前。CVE-2026-19632。自動文字列保存が有効で、対象管理者のプロフィール言語が公開済みの第2言語に設定されている場合に悪用される可能性があります。
- Pods – Custom Content Types and Fields：3.3.9以前などの影響対象バージョン。CVE-2026-19598。
- GiveWP：4.16.7.1以前。CVE-2026-82222。公開済みの寄付フォームと有効な決済ゲートウェイが存在するサイトで、任意コマンド実行につながる可能性が報告されています。
今回報告された問題はWordPress本体の単一の脆弱性ではありません。それぞれ異なるプラグインまたはテーマに存在する独立した脆弱性です。そのため、WordPressを利用しているだけで直ちに影響を受けるわけではなく、該当コンポーネントの有無、バージョン、設定などを個別に確認する必要があります。
推奨される対策
- WordPress管理画面や資産管理情報から、対象となる5製品を使用しているか確認してください。
- WPMU DEV Dashboardは5.0.2以降へ更新してください。
- Avadaを利用している場合はAvada 7.16.1以降とFusion Builder 3.16.1以降へ、両方を更新してください。
- TranslatePressは3.3.2以降へ更新してください。
- Podsは使用している系列に対応した修正版へ更新してください。3.3系では3.3.9.1が修正版として公開されています。
- GiveWPは4.16.7.2以降へ更新してください。
- 使用していないプラグインやテーマは放置せず、不要であれば削除してください。
- 更新後もWordPressの管理者アカウントやファイルに不審な変更がないか確認してください。
- WebサーバーやWordPressのログを確認し、不審なアクセスや管理操作が発生していないか調査してください。
特に今回の5件には、認証されていない外部の攻撃者による悪用が可能とされる脆弱性が含まれています。該当製品を使用している場合は、「攻撃を受けてから更新する」のではなく、影響条件を確認したうえで修正版への更新を優先することが重要です。
この記事に出てくる専門用語
- CVE：公表されたセキュリティ上の脆弱性を識別するために割り当てられる共通番号です。今回の記事ではCVE-2026-76581、CVE-2026-18431、CVE-2026-19632、CVE-2026-19598、CVE-2026-82222の5件が取り上げられています。
- CVSS：脆弱性の深刻度を数値化するための評価方式です。今回報告された脆弱性は9.8または10.0と評価されており、いずれもCriticalに分類される非常に深刻な問題です。
- 認証バイパス：本来必要なログインなどの本人確認処理を回避し、保護された機能へアクセスする攻撃です。管理者として認証された状態を取得できる場合、Webサイト全体の操作につながる可能性があります。
- 権限昇格：本来持っている権限よりも高い権限を不正に取得することです。今回のPodsの脆弱性では、認証されていない攻撃者が管理者権限を取得する可能性が報告されています。
- RCE（Remote Code Execution）：ネットワーク越しに対象サーバー上で攻撃者が任意のコードやコマンドを実行できる状態を指します。成立した場合、Webサイトの改ざんだけでなく、サーバー自体への侵害につながる可能性があります。
- PHP Object Injection：PHPアプリケーションが外部から受け取ったオブジェクトデータを安全に検証せず復元することで、意図しない処理を発生させる攻撃手法です。GiveWPのCVE-2026-82222では、この問題が最終的なリモートコード実行につながると報告されています。
5件の脆弱性はいずれも「Critical」、影響内容はそれぞれ異なる
今回報告された5件は、すべて同じ仕組みでWordPressを攻撃するものではありません。WPMU DEV DashboardのCVE-2026-76581は認証処理に関する問題で、一定の条件を満たしたサイトでは、認証されていない攻撃者が管理者としてログインできる可能性があります。対象は5.0.1以前で、WPMU DEVに接続され、Hub SSOが有効になっており、そのSSOが管理者アカウントへ紐付けられている環境です。
一方、PodsのCVE-2026-19598では、認証されていない攻撃者が管理者へ権限を昇格させたり、サイト所有者を含むユーザーのパスワードを上書きしたりできる可能性が報告されています。TranslatePressのCVE-2026-19632では、管理者のパスワードリセット用URLに含まれるリセットキーなどの情報が取得され、管理者アカウントの乗っ取りにつながる可能性があります。ただしTranslatePressについては、自動文字列保存が有効であることや、対象管理者のプロフィール言語が公開済みの第2言語になっていることなど、悪用成立には条件があります。
このように、5件を単純に「WordPressを乗っ取る脆弱性」と一括りにするのではなく、自社サイトでどの製品を使用しているか、そのバージョンと設定が影響条件に該当するかを確認することが重要です。
出典：Wordfence
Avadaではサーバー上のPHPコード実行につながる可能性
Avadaで報告されたCVE-2026-18431は、今回の5件の中でもサーバーへの直接的な影響が大きい脆弱性の一つです。Avada 7.16以前とFusion Builder 3.16以前を組み合わせた環境において、複数の認可処理や入力検証上の問題を連鎖させることで、認証されていない攻撃者がサーバーへ任意のファイルを書き込める可能性があると報告されています。
書き込むファイルとしてPHPコードを利用できれば、攻撃者がサーバー上で任意のPHPコードを実行するRCEにつながり、最終的にはサイト全体を侵害される可能性があります。ただし、AvadaまたはFusion Builderの対象バージョンを使用しているだけで、無条件に攻撃が成立するわけではありません。Wordfenceの分析では、AvadaとFusion Builderの双方がインストールされ有効であることに加え、管理者が作成した特定のコンテンツが存在することも悪用成立の条件として挙げられています。
修正版としてAvada 7.16.1とFusion Builder 3.16.1が2026年8月25日に公開されています。AvadaはFusion Builderと組み合わせて使用されるため、片方だけを更新するのではなく、両コンポーネントのバージョンを確認し、修正版以降へ更新することが推奨されています。
出典：Wordfence
GiveWPはCVSS 10.0、PHP Object InjectionからRCEへ
GiveWPのCVE-2026-82222は、元記事でCVSS 10.0と評価されている脆弱性です。Patchstackによると、GiveWP 4.16.7.1以前において、信頼できないデータを安全に処理できないことによるPHP Object Injectionが発生し、複数の条件が組み合わさることでリモートコード実行につながる可能性があります。
Patchstackの分析では、攻撃者が制御できるシリアライズ済みオブジェクトを保存できること、そのデータが後から信頼済みデータであるかのように復元されること、さらに読み込まれているクラス内に悪用可能な「ガジェットチェーン」が存在することが組み合わさり、任意のコマンド実行へ発展するとされています。攻撃にはWordPressの管理者アカウントを事前に取得する必要はないと報告されています。
一方で、元記事では悪用条件として、少なくとも1件の公開済み寄付フォームと1つの有効な決済ゲートウェイが存在するGiveWPサイトが挙げられています。したがって、GiveWPをインストールしているだけで同じ条件になるとは限りません。それでも、影響の大きさを踏まえれば、対象バージョンを使用しているサイトでは速やかな更新が必要です。Patchstackは2026年8月27日に公開された4.16.7.2で、このRCEにつながる脆弱性チェーンが修正されたとしています。
出典：Patchstack
サイト管理者は「WordPress本体」だけでなく構成要素の棚卸しを
今回の報告から重要なのは、WordPress本体を最新版にしているだけでは、Webサイト全体のセキュリティ対策として十分とは限らないという点です。WordPressサイトは、本体に加えてテーマや複数のプラグインを組み合わせて構築されることが一般的です。そのため、本体に問題がなくても、追加されたコンポーネントに深刻な脆弱性が存在すれば、管理者権限の取得やサーバー侵害につながる可能性があります。
まず管理者は、自社が管理するWordPressサイトの一覧を把握し、それぞれで使用しているテーマとプラグイン、バージョンを確認する必要があります。今回対象となったWPMU DEV Dashboard、Avada、TranslatePress、Pods、GiveWPが含まれている場合は、影響条件を確認したうえで修正版へ更新してください。特にAvadaではFusion Builderも併せて確認するなど、関連コンポーネントを含めて確認する必要があります。
また、脆弱性が公開されてから更新するだけではなく、不要になったプラグインやテーマを削除し、利用中のコンポーネントを継続的に把握できる状態にしておくことも重要です。すでに脆弱な状態でインターネットへ公開していた場合は、更新だけで対応を終了せず、管理者アカウントの追加や変更、パスワード変更、ファイル改ざん、不審なPHPファイル、アクセスログなどに異常がないかを確認することが望まれます。
今回の5件は影響条件や攻撃方法こそ異なりますが、成立した場合にはいずれもサイト運営へ大きな影響を及ぼす可能性があります。企業サイトをWordPressで運用している組織では、プラグイン・テーマを含めた資産管理と脆弱性対応を、継続的な運用プロセスとして整備することが重要です。
参考文献・記事一覧
- The Hacker News「Five Critical WordPress Plugin and Theme Flaws Enable Site Takeover or RCE」
- Wordfence「WPMU DEV DashboardのCVE-2026-76581に関する調査」
- Wordfence「AvadaのCVE-2026-18431に関する調査」
- Wordfence「TranslatePressのCVE-2026-19632に関する調査」
- Wordfence「PodsのCVE-2026-19598に関する調査」
- Patchstack「GiveWPのCVE-2026-82222に関する調査」
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
