SEO Flow by LupsOnlineに未認証で管理者をなりすませるCritical脆弱性（CVE-2026-78362）

WordPressプラグイン「SEO Flow by LupsOnline」の脆弱性情報（CVE-2026-78362）。影響バージョンは3.0.0〜3.0.2。修正版 3.0.3 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

SEO Flow by LupsOnline（プラグイン）

CVE

CVE-2026-78362

CVSS / 深刻度

9.8 / Critical

影響バージョン

3.0.0〜3.0.2

修正版

3.0.3

脆弱性種別

未認証の認証回避／権限昇格 → 管理者なりすまし・サイト乗っ取り

脆弱性の概要

SEO Flow by LupsOnline 3.0.0〜3.0.2には、APIリクエストの認証情報検証不備により、未認証の攻撃者がプラグインを設定したWordPress管理者として扱われ、サイトを乗っ取れるCritical脆弱性があります。

技術的な内容

プラグインが通常どおり設定済みであることが悪用条件です。APIリクエストで渡される資格情報を正しく検証しないため、認証されていないリクエストが設定を行った管理者として処理されます。CVE-2026-78362はCVSS 9.8で、CWE-269に分類されています。現時点で実攻撃の確認はありません。

悪用状況

実攻撃は未確認

推奨対応

3.0.3以上へ直ちに更新してください。更新できない場合はプラグインを一時停止し、APIエンドポイントへのアクセスを制限してください。あわせて不審な管理者アクション、ユーザー追加、投稿・設定変更を確認し、連携用APIコードも更新後にローテーションしてください。

情報源

• WordPress.org（開発元配布・修正履歴）
• NVD（CVE情報）
• Patchstack（技術解析・修正版情報）

情報確認日時：2026年9月8日 01:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。