2026年2月26日～2026年3月4日に報告があったWordPressの脆弱性情報

こんにちは。GMOプライム・ストラテジーの相馬理紗です。

WordPress 7.0のベータ版が続々とリリースされていますね。AI機能やエディタの新機能など様々な機能が追加されているようです、とても楽しみですね。 今回は、2026年2月26日～2026年3月4日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。 - WordPress.orgにおける“Active installations"が10万以上である - 日本語の翻訳に対応している

深刻度が高い脆弱性件:3件

深刻度が高い脆弱性は3件でした。

プラグイン: Tutor LMS

3.9.6までの全バージョンに、ユーザーが指定する 'coupon_code' パラメータのエスケープ処理が不十分であり、既存のSQLクエリに対する適切なプリペアド処理が行われていないことによるSQLインジェクションの脆弱性が存在します。

この脆弱性を悪用すると、認証を受けていないユーザーが既存のクエリに追加のSQLクエリを挿入することで、データベースから機密情報を取得可能となります。なお、この脆弱性はバージョン3.9.4および3.9.6で部分的に修正されています。

プラグイン: WP Mail Logging

1.15.0までの全バージョンに、メールログのメッセージフィールドから取得した信頼できない入力をデシリアライズすることによるPHPオブジェクトインジェクションの脆弱性が存在します。これは、BaseModel クラスのコンストラクタが、データベースから取得したすべてのプロパティに対して検証を行わずに maybe_unserialize() を呼び出していることが原因です。

この脆弱性を悪用すると、認証を受けてないユーザーが、メール送信を行う公開フォーム（例: Contact Form 7 など）を通じて二重にシリアライズされたペイロードを送信することで、PHPオブジェクトを注入することが可能になります。送信されたメールがログに記録され、そのログを管理者が閲覧した際に、悪意のあるペイロードが任意のPHPオブジェクトとしてデシリアライズされます。

なお、ソフトウェア自体には既知のPOPチェーンは存在しないため、他のプラグインやテーマにPOPチェーンが含まれていない場合、影響は限定的です。しかし、対象システムにPOPチェーンを含むプラグインやテーマがインストールされている場合には、任意のファイルの削除、機密情報の取得、コード実行などが行われてしまう可能性があります。

プラグイン: Page Builder by SiteOrigin

2.33.5までの全バージョンに、locate_template() 関数を介したローカルファイルインクルードの脆弱性が存在します。

寄稿者以上の権限を持つユーザーで認証済みの場合に、サーバ上の任意のファイルを読み込み実行することが可能となり、それらのファイルに含まれる任意のPHPコードを実行できる可能性があります。これにより、アクセス制御の回避や機密情報の取得が可能となるほか、画像などの「安全」と見なされるファイル形式をアップロードして読み込ませることができる環境では、コード実行につながる可能性があります。

他の脆弱性：6件

他の脆弱性は6件です。

プラグイン: Shortcoder - Create Shortcodes for Anything

寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。

プラグイン: Enable Media Replace

投稿者以上の権限を持つユーザーで認証済みの場合に、削除された背景画像の添付ファイルを用いて任意の添付ファイルを置き換えることが可能となります。

プラグイン: Website Builder by SeedProd - Theme Builder, Landing Page Builder, Coming Soon Page, Maintenance Mode

認証を受けていないユーザーが権限のない操作を実行することが可能となります。

プラグイン: Photo Gallery by 10Web

編集者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。なお、この脆弱性はマルチサイト環境および unfiltered_html が無効化されている環境にのみ影響を及ぼします。

テーマ: Blocksy

寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。

プラグイン: Page Builder Gutenberg Blocks

寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。

総括

2026年2月26日～2026年3月4日に報告された脆弱性9件のうち、3件は認証を受けていないユーザーが悪用可能な脆弱性で、6件は少なくとも投稿者以上の権限を持つユーザーで認証済の場合に悪用可能な脆弱性でした。

深刻度が高い脆弱性としては、SQLインジェクション、PHPオブジェクトインジェクション、ローカルファイルインクルード（LFI）など、機密情報の取得や任意コード実行につながる可能性のある問題が確認されています。特にPHPオブジェクトインジェクションは、外部から与えられたシリアライズデータを不適切にデシリアライズすることで、既存のクラスの挙動を悪用して任意の処理の実行を可能にす脆弱性です。詳細は当社のWebサイトでも解説しています。

未認証または比較的低い権限から悪用可能な脆弱性が含まれており、放置していると情報漏えいやサイト改ざん、権限昇格などのリスクにつながる可能性があります。該当するプラグインやテーマを利用している場合は、速やかにアップデートを行い、最新版を維持するようにしてください。