WORDPRESS SECURITY

AI Website Builder（GitHub版）に未認証RCEにつながる認可不備（CVE-2026-82923）

Critical

WordPressプラグイン「AI Website Builder (GitHub build)」の脆弱性情報（CVE-2026-82923）。影響バージョンは1.0.0。修正版の有無と当面の対処法をまとめています。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月5日

対象製品: AI Website Builder (GitHub build)（プラグイン）
CVE: CVE-2026-82923
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.0.0
脆弱性種別: 認証・認可不備／任意ファイル書き込み／Remote Code Execution

脆弱性の概要

AI Website BuilderのGitHub配布版1.0.0では、REST APIルートに認可・nonce確認がなく、未認証攻撃者がプラグインやテーマの導入・有効化、外部URLからのコンテンツ取込、uploadsディレクトリへの任意ファイル書き込み、コンテンツ削除などを実行できます。uploadsでPHPが実行可能な構成ではRCEにつながります。

技術的な内容

脆弱なREST APIルートが呼び出し元の権限を確認せず、高権限操作を実行することが原因です。CVE情報ではGitHub build 1.0.0が影響対象です。IONIXはWordPress.org配布版は影響を受けないと報告しています。現時点で修正版は確認できず、CISA KEV登録や信頼できる実悪用確認もありません。

悪用状況

実攻撃は未確認

推奨対応

GitHub配布版1.0.0を使用している場合は、修正版が提供されるまで直ちに停止・削除してください。未知のプラグイン・テーマ、uploads配下の不審なファイル、コンテンツ削除・改ざん、must-use pluginや関連設定の残存を確認してください。併せてuploads配下でPHPを実行できないようWebサーバー設定を確認してください。

情報源

情報確認日時：2026年9月5日 06:48

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。