MemberHeroに未認証で管理者権限を取得できるCritical脆弱性、完全修正版なし（CVE-2026-10522）

WordPressプラグイン「MemberHero – Simple User Registration & Login」の脆弱性情報（CVE-2026-10522）。影響バージョンは6.9以下。修正版 なし（6.9の修正は不完全と報告） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

MemberHero – Simple User Registration & Login（プラグイン）

CVE

CVE-2026-10522

CVSS / 深刻度

9.8 / Critical

影響バージョン

6.9以下

修正版

なし（6.9の修正は不完全と報告）

脆弱性種別

未認証の権限昇格 / 管理者アカウント作成 / Account Takeover

脆弱性の概要

MemberHero 6.9以下には、フロントエンド登録時に攻撃者がrole等のアカウント属性を指定し、未認証のままAdministrator権限を持つユーザーを作成してサイトを完全侵害できるCritical脆弱性があります。公開情報では完全に修正されたバージョンは確認できません。

技術的な内容

フロントエンド登録処理がユーザー指定のアカウント属性を十分に制限しないため、任意ロールを指定した新規ユーザー作成や既存アカウント乗っ取りにつながります。WordPress.orgの6.9変更履歴はrole/capabilityキーを除去する修正を記載していますが、CVE/WPScanはこの修正が不完全で6.9も依然として悪用可能としています。WPScan評価はCVSS 9.8 Criticalです。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

完全修正版が確認できるまでMemberHeroを停止・削除してください。継続利用が必要な場合は公開登録を無効化し、登録エンドポイントへの外部アクセスを制限してください。予期しないAdministratorアカウント、既存ユーザーのロール・メール変更、ログイン履歴、プラグイン／テーマの不審な追加を監査してください。

情報源

• WordPress.org（開発元公式・6.9変更履歴／現行版確認）
• CVE.org（CVE情報・不完全修正の記載）
• WPScan（CNA・技術解析／CVSS 9.8・修正版なし）
• Patchstack（重大度・影響確認）

情報確認日時：2026年9月11日 06:14

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。