WORDPRESS SECURITY

TranslatePressの管理者アカウント乗っ取り脆弱性で実攻撃確認（CVE-2026-19632）

Critical 実攻撃を確認

WordPressプラグイン「TranslatePress – Multilingual」の脆弱性情報（CVE-2026-19632）。影響バージョンは3.3.1以下。修正版 3.3.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月7日

対象製品: TranslatePress – Multilingual（プラグイン）
CVE: CVE-2026-19632
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 3.3.1以下
修正版: 3.3.2
脆弱性種別: 未認証の管理者アカウント乗っ取り（実攻撃確認）

脆弱性の概要

TranslatePress 3.3.1以下の未認証管理者アカウント乗っ取り脆弱性（CVE-2026-19632）について、実攻撃が観測されていることを示す新たな情報を確認しました。Patchstackは同脆弱性をRecently exploited vulnerabilitiesに掲載しており、Positive Technologiesの脆弱性情報でもin-the-wildでの悪用が報告されています。

技術的な内容

自動文字列保存が有効で、対象管理者のプロフィール言語が公開済みの第2言語に設定されている場合、パスワードリセットメール内のリセットURLが翻訳辞書に保存されます。未認証攻撃者は公開AJAX処理trp_get_translations_regularからこのURLを取得し、管理者パスワードを変更してサイトを乗っ取ることができます。CVSS 9.8 Criticalで、CVE-2026-19632自体の修正は3.3.2です。

悪用状況

実攻撃を確認

推奨対応

TranslatePressを少なくとも3.3.2以上、実運用では最新版へ直ちに更新してください。3.3.1以下を公開していた場合は、管理者のパスワード変更・リセット履歴、不審なログインセッション、未知の管理者追加、プラグイン・テーマ変更を確認してください。侵害が疑われる場合は全管理者セッションを失効し、認証キー・saltのローテーションも実施してください。管理者アカウントへの2要素認証も推奨します。

情報源

情報確認日時：2026年9月7日 06:21

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。