2026年2月12日～2026年2月18日に報告があったWordPress脆弱性関連情報

こんにちは。プライム・ストラテジーの相馬理紗です。

今回は、2026年2月12日～2026年2月18日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

深刻度が高い脆弱性: 1件

深刻度が高い脆弱性は1件でした。

プラグイン: BackWPup

5.6.2までの全バージョンに、'save_site_option()' 関数において権限チェックが欠落していることによる、データの不正な変更および権限昇格につながる脆弱性が存在します。

level以上 (※原文のまま) の権限を持つユーザーで認証済みの場合に、WordPress サイトの任意のオプションを更新することが可能となります。これにより、新規登録ユーザーのデフォルト権限を管理者に変更し、ユーザー登録を有効化することで、攻撃者が管理者権限を取得することが可能となります。

他の脆弱性: 14件

他の脆弱性は14件です。

プラグイン: Converter for Media

認証を受けていないユーザーが、Webアプリケーションを起点として任意の宛先へWebリクエストを送信でき、内部サービスの情報取得や変更を行うことが可能となります。

プラグイン: VK All in One Expansion Unit

寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。

プラグイン: PDF Invoices & Packing Slips for WooCommerce

購読者以上の権限を持つユーザーで認証済みの場合に、Peppol請求を利用している環境において任意の 'order_id' パラメータを指定することで、任意の顧客の Peppol/EDIエンドポイント識別子（'peppol_endpoint_id'、'peppol_endpoint_eas'）を変更することが可能となります。これにより、Peppol ネットワーク上の注文ルーティングに影響を与え、支払いの混乱や情報漏えいが発生する可能性があります。

プラグイン: Yoast Duplicate Post

管理者などの高い権限を持つユーザーで認証済みの場合に、'duplicate_post_title_prefix' などの複数のパラメータを介して管理画面ページへ任意のウェブスクリプトを挿入することが可能となります。なお、この脆弱性はマルチサイト構成、または unfiltered_html が無効化されている環境にのみ影響を及ぼします。

プラグイン: Download Manager

認証を受けていない状態でも、ユーザーにリンクをクリックさせるなどの操作を行わせることに成功した場合に、ページへ任意のウェブスクリプトを挿入し実行させることが可能となります。

プラグイン: Forminator Forms

管理者権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。また、このプラグインでは管理者がフォーム管理権限を下位権限ユーザーに付与できるため、設定によっては購読者などのユーザーによって悪用される可能性があります。

プラグイン: Popup Builder

認証を受けていないユーザーでも、被害者のメールアドレスを把握している場合に、配信停止トークンを総当たりで推測することで、任意の購読者をメーリングリストから配信停止させることが可能となります。

プラグイン: Breadcrumb NavXT

認証を受けていないユーザーでも'post_id' パラメータを操作することで、下書きまたは非公開投稿のパンくずリストを列挙・閲覧でき、本来公開されるべきではない投稿タイトルや階層構造を取得することが可能となります。

プラグイン: Easy Table of Contents

寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。

プラグイン: WP All Export

認証を受けてないユーザーでも、期待されるMD5 ハッシュの接頭辞が数値形式（^0e\d+$ に一致）となる場合に「magic hash」値を用いて認証を回避し、個人情報（PII）や業務データ、データベース情報を含む機密なエクスポートファイルをダウンロードすることが可能となります。

プラグイン: Advanced Ads - Ad Manager & AdSense

購読者以上の権限を持つユーザーで認証済みの場合に、広告の配置設定を更新でき、表示される広告または広告グループを変更することが可能となる。

プラグイン: Ultimate Member

認証されていないユーザーでも、ユーザーにリンクをクリックさせるなどの操作を行わせることに成功した場合に、ページへ任意のウェブスクリプトを挿入し実行させることが可能となります。

プラグイン: Spam protection, Honeypot, Anti-Spam by CleanTalk

認証されていないユーザーでも任意のプラグインをインストールおよび有効化することが可能となり、他に脆弱なプラグインがインストール・有効化されている場合にはリモートコード実行につながる可能性があります。なお、この脆弱性はAPI キーが無効なサイトにのみ影響を及ぼします。

プラグイン: Yoast Duplicate Post

管理者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。なお、この脆弱性はマルチサイト構成、または unfiltered_html が無効化されている環境にのみ影響を及ぼします。

総括

今回報告された脆弱性には、権限チェックの欠落による設定の改ざんや権限昇格、任意のウェブスクリプトの実行（クロスサイトスクリプティング）、認証回避、内部サービスへの不正なリクエスト送信、機密情報を含むファイルの取得などが含まれています。magic hashを悪用した認証回避や、任意のプラグインのインストール・有効化が可能となる脆弱性など、影響範囲が広がりやすいものも含まれています。

特に、BackWPupプラグインの 'save_site_option()' における権限チェックの欠落は、登録ユーザーのデフォルト権限を管理者に変更できる可能性があり、条件次第では管理者アカウントの取得につながるおそれがあります。原文では必要となる権限が明確に書かれていない (※原文は with level access and above) ことから、注意が必要です。

深刻度が高くないものの、認証されていない状態で悪用可能な脆弱性が多く報告されました。放置していると、条件によっては情報漏えいやサイト改ざん、管理者権限の取得につながる可能性があります。使用しているプラグインに該当するものがある場合は、速やかにアップデートを行い、最新版を維持するようにしてください。