WORDPRESS SECURITY

RepairBuddyにSubscriber権限からRCEが可能な脆弱性（CVE-2026-81803）

High

WordPressプラグイン「RepairBuddy – Repair Shop CRM & Booking Plugin for WordPress」の脆弱性情報（CVE-2026-81803）。影響バージョンは4.1224以下。修正版 4.1225 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: RepairBuddy – Repair Shop CRM & Booking Plugin for WordPress（プラグイン）
CVE: CVE-2026-81803
CVSS / 深刻度: 7.5 / High
影響バージョン: 4.1224以下
修正版: 4.1225
脆弱性種別: 認証済みSubscriber+ Remote Code Execution / Code Injection

脆弱性の概要

RepairBuddy 4.1224以下には、Subscriber相当の低権限ユーザーからリモートコード実行につながるCode Injection脆弱性があります。悪用に成功するとサーバー上で任意コードを実行し、サイトを完全侵害される可能性があります。

技術的な内容

CVE-2026-81803はCWE-94に分類されるRemote Code Executionで、CVSS 7.5 Highです。攻撃はネットワーク経由で、低権限アカウントが必要、攻撃複雑度はHigh、ユーザー操作は不要です。WordPress.orgの4.1225変更履歴ではSecurity issues Fixedと記載されています。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

4.1225以上へ直ちに更新してください。更新まで不要な一般ユーザー登録・Subscriberアカウントを制限し、不審な低権限ユーザー、Web/PHPログ、最近のファイル変更、未知の管理者やバックドアを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

情報確認日時：2026年9月11日 19:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。