WORDPRESS SECURITY

Really Simple Securityに未認証の2FA回避脆弱性（CVE-2026-84777）

High

WordPressプラグイン「Really Simple Security (formerly Really Simple SSL)」の脆弱性情報（CVE-2026-84777）。影響バージョンは9.8.0以下。修正版 9.8.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月7日

対象製品: Really Simple Security (formerly Really Simple SSL)（プラグイン）
CVE: CVE-2026-84777
CVSS / 深刻度: 7.4 / High
影響バージョン: 9.8.0以下
修正版: 9.8.1
脆弱性種別: 未認証の認証回避／2FA Bypass

脆弱性の概要

Really Simple Security 9.8.0以下には、未認証で悪用可能な2FA回避を含むBroken Authentication脆弱性があります。特定条件で2FA保護が機能せず、保護対象ユーザーへの不正アクセスにつながる可能性があります。

技術的な内容

CVE-2026-84777はCWE-288、CVSS 7.4 Highです。WordPress.org公式の9.8.1変更履歴では、ログインnonceの予期しない削除、2FA状態がactiveからopenへ誤変更される問題、2FA設定ユーザーがXML-RPC経由で2FAなしにログインできる問題の修正が明記されています。CISAのVulnrichmentではExploitation:noneとされています。

悪用状況

実攻撃は未確認

推奨対応

Really Simple Securityを9.8.1以上へ直ちに更新してください。管理者などへ2FAを必須化しているサイトでは、XML-RPCログイン、不審なセッション、2FA状態変更、ログインnonce関連の異常を確認してください。

情報源

情報確認日時：2026年9月7日 13:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。