GEO my WPに未認証LFIからRCEへ発展可能な重大脆弱性（CVE-2026-85200）

WordPressプラグイン「GEO my WP」の脆弱性情報（CVE-2026-85200）。影響バージョンは4.5.5.3以下。修正版 4.5.5.4 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

GEO my WP（プラグイン）

CVE

CVE-2026-85200

CVSS / 深刻度

7.5 / High

影響バージョン

4.5.5.3以下

修正版

4.5.5.4

脆弱性種別

未認証Local File Inclusion / PHPファイル実行 / 条件付きRemote Code Execution

脆弱性の概要

GEO my WP 4.5.5.3以下には、未認証攻撃者が任意のローカルPHPファイルをinclude・実行できるLFI脆弱性があります。PEARとregister_argc_argvが利用可能な環境では、ファイル書き込みと実行を組み合わせて完全なRCEに発展する可能性があります。

技術的な内容

gmw_posts_locator_ajax_info_window_loader処理におけるファイルパス検証不足により、未認証リクエストから任意PHPファイルをincludeできます。CNA評価はCVSS 7.5 High。Patchstackは4.5.5.4を修正版として案内していますが、確認時点のWordPress.org配布版は4.5.5.3のため、公式ディレクトリから安全版を取得できない環境があります。現時点で信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

4.5.5.4以上を入手できる場合は直ちに更新してください。WordPress.orgで4.5.5.3しか取得できない場合は、安全版が利用可能になるまでプラグイン停止を推奨します。PEAR/register_argc_argv構成、同AJAX処理への不審アクセス、最近のPHPファイル変更を確認してください。

情報源

• WordPress.org（開発元公式・配布版確認）
• CVE.org（CVE情報）
• Patchstack（技術情報・修正版4.5.5.4）

情報確認日時：2026年9月13日 00:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。