EventinにContributor権限からPHPコード実行につながるLocal File Inclusion脆弱性（CVE-2026-15667 / CVE-2026-15406）

WordPressプラグイン「Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce」の脆弱性情報（CVE-2026-15667 / CVE-2026-15406）。影響バージョンは4.1.22以下。修正版 4.1.23 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce（プラグイン）

CVE

CVE-2026-15667 / CVE-2026-15406

CVSS / 深刻度

7.5 / High

影響バージョン

4.1.22以下

修正版

4.1.23

脆弱性種別

認証済みContributor+ Local File Inclusion / PHPコード実行

脆弱性の概要

Eventin 4.1.22以下には、Contributor権限以上の認証済みユーザーがevent_layoutパラメータを悪用してサーバー上のPHPファイルをincludeし、PHPコード実行につなげられる重大脆弱性があります。etn_manage_event権限はContributorへ既定で付与されるため、追加設定なしでも低権限アカウントが攻撃経路になり得ます。

技術的な内容

event_layoutの値が十分に制限されないままPHPのinclude系処理へ渡されるLocal File Inclusionです。CVE-2026-15667ではetn_manage_event capabilityがContributorへ既定付与される点が明記され、REST APIから悪意あるevent_layoutを設定可能です。サーバー上に攻撃者が制御できるPHPファイルが存在する場合などにコード実行へ発展します。同じevent_layoutの問題について、CVE-2026-15406も公開されています。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Eventinを4.1.23以上へ直ちに更新してください。Contributor以上のユーザーとEventinのイベント編集権限を確認し、wp-json配下のEventin REST APIへの不審なevent_layout変更、最近追加・変更されたPHPファイル、uploadsや一時ディレクトリ内のPHPファイル、Webサーバーログを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

• WordPress.org（開発元公式・修正版4.1.23／利用規模確認）
• NVD（CVE-2026-15667 脆弱性情報）
• Wordfence（CNA・技術情報）
• Patchstack（同一event_layout問題のCVE-2026-15406・修正版確認）

情報確認日時：2026年9月10日 06:31

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。