WORDPRESS SECURITY

BlogVault・MalCare・WP Remoteに未認証のサイト乗っ取りにつながる認証回避（CVE-2026-19718）

High

WordPressプラグイン「BlogVault / MalCare / WP Remote」の脆弱性情報（CVE-2026-19718）。影響バージョンは5.16〜6.62（WPScan評価。ベンダーは2026-08-26に必要なAPIを廃止し、旧版でも当該攻撃経路は無効化済みと説明）。修正版 6.65（接続キー生成を強化。加えてサーバー側APIを廃止）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: BlogVault / MalCare / WP Remote（プラグイン）
CVE: CVE-2026-19718
CVSS / 深刻度: 8.1 / High
影響バージョン: 5.16〜6.62（WPScan評価。ベンダーは2026-08-26に必要なAPIを廃止し、旧版でも当該攻撃経路は無効化済みと説明）
修正版: 6.65（接続キー生成を強化。加えてサーバー側APIを廃止）
脆弱性種別: 未認証Authentication Bypass / Site Takeover

脆弱性の概要

BlogVault、MalCare、WP Remoteの接続処理には、認証されていない外部ユーザーがサイトとリモート管理サービスを結ぶ接続キーを推測・回復し、管理者相当のアクセスにつながる可能性がある脆弱性があります。WPScanはCVSS 8.1 Highとして公開しています。ベンダーは2026年8月26日に必要なAPIを廃止し、現在は旧版を含め当該攻撃経路は無効化済みで、被害サイトは確認していないと説明しています。

技術的な内容

WPScanによると、未認証ユーザーが接続シークレットに由来する情報を取得できる経路と、予測性のある疑似乱数によるシークレット生成を組み合わせることで接続キーを回復し、リモート管理サービス経由でサイト管理権限を取得できる可能性がありました。BlogVault側は成立条件が複数重なる短い時間窓の問題だったと説明し、必要なAPIを廃止しています。6.65ではrandom_intを用いたシークレット生成と接続キー生成機構が強化されています。

悪用状況

実攻撃は未確認

推奨対応

ベンダー側で攻撃経路は無効化済みとされていますが、6.65以上、可能であれば最新版へ更新してください。影響期間中に利用していた場合は、不審なAdministrator追加、リモート管理操作、バックアップ・復元・ステージング・プラグイン変更履歴を確認してください。

情報源

情報確認日時：2026年9月3日 00:38

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。