WPLP Cookie Consentに未認証の任意ファイルアップロード脆弱性、RCEの可能性（CVE-2026-75865）

WordPressプラグイン「WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode」の脆弱性情報（CVE-2026-75865）。影響バージョンは4.4.1以下。修正版 4.4.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode（プラグイン）

CVE

CVE-2026-75865

CVSS / 深刻度

9.8 / Critical

影響バージョン

4.4.1以下

修正版

4.4.2

脆弱性種別

未認証任意ファイルアップロード／認証回避（RCEにつながる可能性）

脆弱性の概要

WPLP Cookie Consent 4.4.1以下には、WPLP connector REST APIの認証回避とファイル種別検証不足が組み合わさり、未認証の攻撃者が任意ファイルをアップロードできるCritical脆弱性があります。アップロード先やサーバー設定によってはPHP等の実行可能ファイルからRCEにつながる可能性があります。

技術的な内容

脆弱性はsaas_upload_logo()のファイル種別検証不足と、WPLP connector RESTエンドポイントの認可不備に起因します。CVE-2026-75865はCVSS 9.8で、4.4.1以下が影響を受けます。WordPress.orgの4.4.2変更履歴では、プラグイン全体のセキュリティとバリデーション強化が記載されています。現時点でCISA KEV登録や信頼できる実悪用確認はありません。

悪用状況

実攻撃は未確認

推奨対応

WPLP Cookie Consentを4.4.2以上、可能であれば最新版へ直ちに更新してください。影響バージョンを公開していた場合は、REST APIのupload-logo関連アクセス、wp-content/uploads配下の不審なPHP等の実行可能ファイル、未知の管理者追加、改ざんファイルの有無を確認してください。

情報源

• WordPress.org（公式変更履歴）
• CVE.org（CVEレコード）
• WPScan（脆弱性情報・技術概要）

情報確認日時：2026年9月3日 18:37

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。