Divi Ajax Filterの未認証LFI脆弱性で実攻撃確認（CVE-2026-11613）

WordPressプラグイン「Divi Ajax Filter」の脆弱性情報（CVE-2026-11613）。影響バージョンは5.1.2以下。修正版 5.1.3 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Divi Ajax Filter（プラグイン）

CVE

CVE-2026-11613

CVSS / 深刻度

9.8 / Critical

影響バージョン

5.1.2以下

修正版

5.1.3

脆弱性種別

未認証Local File Inclusion（PHPファイル実行）

脆弱性の概要

以前お知らせしたCVE-2026-11613について、PatchstackがRecently exploited vulnerabilitiesとして掲載し、実際の悪用が観測された状態へ変化しました。特定のcustom-template構成では未認証攻撃者がローカルPHPファイルをinclude・実行でき、サイト侵害につながります。

技術的な内容

custom_loop_templateパラメータを悪用する未認証Local File Inclusionで、loop_templatesがcustom-templateの場合に任意ローカルPHPファイルをincludeできます。Patchstackの現行WordPress統計で本脆弱性がRecently exploited vulnerabilitiesに掲載されており、修正版は以前お知らせしたとおり5.1.3です。

悪用状況

実攻撃を確認

推奨対応

Divi Ajax Filterを5.1.3以上へ直ちに更新してください。既に攻撃が観測されているため、更新だけでなくcustom_loop_templateを含む過去のリクエスト、uploads・テーマ・プラグイン配下の不審なPHPファイル、未知の管理者、最近のファイル変更も確認してください。

情報源

• Divi Engine（開発元公式変更履歴）
• CVE.org（CVE情報）
• Patchstack（実攻撃観測・Recently exploited）
• Patchstack（技術情報・修正版）

情報確認日時：2026年9月13日 00:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。