WORDPRESS SECURITY

WPLP Cookie Consentに未認証の任意ファイルアップロード脆弱性（CVE-2026-82970）

Critical

WordPressプラグイン「WPLP Cookie Consent」の脆弱性情報（CVE-2026-82970）。影響バージョンは4.4.1以下。修正版 4.4.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: WPLP Cookie Consent（プラグイン）
CVE: CVE-2026-82970
CVSS / 深刻度: 10 / Critical
影響バージョン: 4.4.1以下
修正版: 4.4.2
脆弱性種別: 未認証の任意ファイルアップロード

脆弱性の概要

WPLP Cookie Consent 4.4.1以下には、認証されていない攻撃者が危険なファイルをアップロードできる脆弱性があります。CVSS 10.0のCriticalで、Webから実行可能なPHP等を配置できる構成ではリモートコード実行やサイト完全侵害につながる可能性があります。WordPress.orgでは30,000以上のサイトで利用されています。

技術的な内容

ファイルアップロード処理の検証不足に起因するCWE-434の問題で、ネットワーク経由・認証不要・ユーザー操作不要で攻撃可能と評価されています。公式4.4.2ではプラグイン全体のセキュリティと入力検証強化が変更履歴に記載されています。現時点では実攻撃を裏付ける信頼できる観測情報は確認できていません。

悪用状況

実攻撃は未確認

推奨対応

4.4.2以上へ直ちに更新してください。影響バージョンを公開していた場合は、wp-content/uploads等のアップロード先にPHP・PHTML・PHARなど不審な実行可能ファイルがないか確認してください。可能であればアップロードディレクトリでPHP実行を禁止する設定も併用してください。

情報源

情報確認日時：2026年9月1日 18:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。