WORDPRESS SECURITY

WP MapsにSubscriber権限から任意ローカルPHP実行が可能なLFI脆弱性（CVE-2026-16263）

High

WordPressプラグイン「WP Maps – Google Maps, OpenStreetMap, Mapbox, Store Locator, Listing, Directory & Filters」の脆弱性情報（CVE-2026-16263）。影響バージョンは4.9.7未満。修正版 4.9.8（4.9.7で権限チェック追加、4.9.8でLFI修正）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: WP Maps – Google Maps, OpenStreetMap, Mapbox, Store Locator, Listing, Directory & Filters（プラグイン）
CVE: CVE-2026-16263
CVSS / 深刻度: 8.8 / High
影響バージョン: 4.9.7未満
修正版: 4.9.8（4.9.7で権限チェック追加、4.9.8でLFI修正）
脆弱性種別: 認証済みSubscriber+ Local File Inclusion / 任意ローカルPHP実行

脆弱性の概要

WP Maps 4.9.7未満には、Subscriber権限のユーザーがAJAX処理を悪用してサーバー上の任意の既存PHPファイルをinclude・実行できるLFI脆弱性があります。低権限アカウントからコード実行とサイト完全侵害につながる可能性があります。

技術的な内容

権限チェック不足とユーザー制御パスの検証不備により、Subscriberが既存のローカルPHPファイルを指定して実行できます。CISA-ADP評価はCVSS 8.8 Highで、SSVCではexploitation=poc、technicalImpact=totalとされています。CVEは4.9.7未満を影響範囲としていますが、WordPress.orgでは4.9.7でAJAX権限チェック追加、4.9.8でLocal File Inclusion修正と追加ハードニングが明記されています。現時点でCISA KEV掲載や実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

少なくとも4.9.8以上、可能であれば現行最新版へ直ちに更新してください。Subscriberを含む低権限ユーザー、不審なwpgmp_ajax_callリクエスト、パストラバーサルを含むアクセス、最近のファイル変更や未知の管理者を確認してください。侵害が疑われる場合は資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

情報確認日時：2026年9月11日 19:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。