Breeze Cacheの未認証任意ファイルアップロード・RCE脆弱性に対する実攻撃を観測（CVE-2026-3844）

WordPressプラグイン「Breeze Cache」の脆弱性情報（CVE-2026-3844）。影響バージョンは2.4.4以下。修正版 2.4.5 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Breeze Cache（プラグイン）

CVE

CVE-2026-3844

CVSS / 深刻度

9.8 / Critical

影響バージョン

2.4.4以下

修正版

2.4.5

脆弱性種別

未認証の任意ファイルアップロード / Remote Code Execution

脆弱性の概要

Breeze Cache 2.4.4以下のCritical脆弱性CVE-2026-3844について、Wordfenceが直近24時間で668件の攻撃を遮断しており、実攻撃が観測されています。「Host Files Locally - Gravatars」が有効なサイトでは、未認証攻撃者が任意ファイルをアップロードし、PHP実行が可能な環境でRCEとサイト完全侵害につながります。

技術的な内容

fetch_gravatar_from_remote()のファイル種別検証不足により、未認証攻撃者が任意ファイルを保存できます。悪用には初期状態で無効の「Host Files Locally - Gravatars」が有効であることが必要です。Cloudways公式は2.4.4以下を影響対象、2.4.5を根本修正版としており、Cloudways環境ではさらにDirect PHP File Accessを明示的に有効化した場合にRCE経路が成立すると説明しています。2026年9月12日の確認時点で、Wordfenceは直近24時間に668件の攻撃遮断を報告しています。

悪用状況

実攻撃を確認

推奨対応

2.4.5以上へ直ちに更新してください。可能であれば現行2.5.15へ更新してください。更新できない場合は「Host Files Locally - Gravatars」を無効化し、/wp-content/cache/breeze-extra/gravatars/を含む書き込み可能領域のPHP/PHTML/PHAR、最近のファイル変更、Webサーバーログ、未知の管理者を確認してください。Cloudways利用時はDirect PHP File Accessを有効化していないかも確認してください。

情報源

• Cloudways（開発元公式セキュリティアドバイザリ）
• WordPress.org（公式配布・現行版2.5.15確認）
• CVE.org（CVE情報）
• Wordfence（技術情報・直近24時間の攻撃観測）

情報確認日時：2026年9月12日 00:30

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。