MemberDashに未認証の管理者アカウント乗っ取り脆弱性（CVE-2026-16310）

WordPressプラグイン「MemberDash」の脆弱性情報（CVE-2026-16310）。影響バージョンは1.8.5以下。修正版の有無と当面の対処法をまとめています。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

MemberDash（プラグイン）

CVE

CVE-2026-16310

CVSS / 深刻度

9.8 / Critical

影響バージョン

1.8.5以下

脆弱性種別

未認証のアカウント乗っ取り／IDOR／認可不備

脆弱性の概要

MemberDash 1.8.5以下では、登録処理のidパラメータに対する検証不足により、未認証攻撃者が任意のWordPressユーザーを指定してパスワードを変更でき、管理者を含むアカウントを乗っ取れるCritical脆弱性があります。被害ユーザーへの通知なしで実行可能とされています。

技術的な内容

CVE-2026-16310はCWE-639（ユーザー制御キーによる認可回避）として公開され、CVSS 9.8 Criticalです。ネットワーク経由・認証不要・ユーザー操作不要で、登録フローの任意user ID指定から管理者パスワード変更まで到達します。確認時点でCISA KEV掲載や信頼できる実攻撃確認はなく、開発元から修正版の明示も確認できませんでした。

悪用状況

実攻撃は未確認

推奨対応

MemberDash 1.8.5以下を使用している場合は、開発元が修正版を公開するまで登録フローを停止・制限するか、必要に応じてプラグインを一時停止してください。既存管理者のパスワード変更、未知のログインセッション、ユーザー登録履歴を確認し、修正版公開後は直ちに更新してください。

情報源

• MemberDash公式（製品情報）
• CVE.org（CVEレコード）
• Wordfence（CNA・技術情報）

情報確認日時：2026年9月6日 18:11

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。