2026年1月15日～2026年1月21日に報告があったWordPress関連の脆弱性情報

lead=WordPressのプラグイン・テーマの脆弱性情報を公開しているWebサイト「Wordfence」から、日本の利用者にも影響がありそうなものを中心に紹介する本連載。今回は、2026年1月15日～2026年1月21日に報告があったWordPressの脆弱性を紹介します。

こんにちは。プライム・ストラテジーの相馬理紗です。最近、本当に脆弱性が増えています。

日本の利用者に影響がある脆弱性をピックアップしている本連載からはあまり実感が持てないかもしれませんが、「Wordfence」の週次レポートでは、2026年1月12日～2026年1月18日において170件もの脆弱性が公開されているようです。

プラグインやテーマなど、常に最新のものを利用するなど意識し、安全にWordPressを運用していきましょうね。

今回は、2026年1月15日～2026年1月21日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

深刻度が高い脆弱性: 1件

深刻度が高い脆弱性は1件でした。

プラグイン:Ninja Forms

3.13.2までの全バージョンに、データへの不正アクセスが可能な脆弱性が存在します。これは、/ninja-forms-views/token/refresh関数に対する権限チェックが欠落していることに起因します。この脆弱性を悪用すると、認証を受けていないユーザーでも、トークンを生成して任意のフォーム送信内容を閲覧することが可能となります。これはCVE-2025-11924の重複報告です。

他の脆弱性: 7件

他の脆弱性は7件です。

プラグイン: Tutor LMS

購読者以上の権限を持つユーザーで認証済みの場合に、サイト上の任意の添付ファイルを削除することが可能となります。

プラグイン: WooCommerce

購読者以上の権限を持つユーザーで認証済みの場合に、機密性の高いユーザーデータや設定データを抽出できます。

プラグイン: The Events Calendar

購読者以上の権限を持つユーザーで認証済みの場合に、Cutom Tables V1データベース移行を開始、キャンセル、または元に戻すことが可能となる。これには、元に戻す操作を通じてカスタムデータベーステーブルを完全に削除することも含まれます。

プラグイン: Photo Gallery by 10Web

認証されていないユーザーでも、任意の画像コメントを削除することが可能になります。なお、コメント機能はプラグインのPro版でのみ利用できます。

プラグイン: Advanced Ads - Ad Manager & AdSense

管理者以上の権限を持つユーザーで認証済みの場合に、既存のSQLクエリに追加のSQLクエリを挿入することが可能となり、データベースから機密情報を抽出するために悪用できます。

プラグイン: Advanced Custom Fields: Extended

認証されていないユーザーが、登録時に「管理者」ロールを指定し、サイトへの管理者アクセス権を取得することができます。なお、この脆弱性は、 'role' がカスタムフィールドにマッピングされている場合にのみ悪用可能です。

プラグイン: All in One SEO

寄稿者以上の権限を持つユーザーで認証済みの場合に、グローバルAIアクセストークンを漏洩させることができます。

総括

2026年1月15日～2026年1月21日に報告された脆弱性8件のうち、3件は認証を受けていないユーザー (誰でも攻撃できる) に影響を及ぼす脆弱性で、5件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を及ぼす脆弱性でした。

引き続き、誰もが攻撃することを可能にする脆弱性が多く報告されています。深刻度が高くない脆弱性であっても、条件によってはサイトに大きな影響を及ぼす可能性があります。速やかにアップデートを行い、最新版を維持するようにしてください。