Really Simple Securityに未認証でEmail 2FAを無効状態へ戻せる認証回避脆弱性（CVE-2026-89080）

WordPressプラグイン「Really Simple Security」の脆弱性情報（CVE-2026-89080）。影響バージョンは9.8.1未満。修正版 9.8.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Really Simple Security（プラグイン）

CVE

CVE-2026-89080

CVSS / 深刻度

7.5 / High

影響バージョン

9.8.1未満

修正版

9.8.1

脆弱性種別

未認証の2FA状態変更 / 認証回避（対象アカウントのパスワード既知が前提）

脆弱性の概要

Really Simple Security 9.8.1未満には、未認証リクエストでユーザーの完了済みEmail 2FA登録状態をリセットできる脆弱性があります。攻撃者が対象ユーザーのパスワードを既に把握している場合、第二要素を回避してAdministratorを含むユーザーのセッションを取得できます。

技術的な内容

Email 2FAの状態管理に不備があり、未認証操作によって2FA状態をactiveからopenへ戻せることが原因です。CISA ADPの評価はCVSS 7.5 High、Exploitation:none、Technical Impact:totalです。WordPress.orgの9.8.1変更履歴でも2FA statusがactiveからopenへ誤って変更される問題の修正が明記されています。

悪用状況

実攻撃は未確認

推奨対応

9.8.1以上へ直ちに更新してください。特に管理者へEmail 2FAを必須化しているサイトでは優先度を上げ、2FA状態の不審なリセット、管理者ログイン、既知・漏えいパスワードの使用有無を確認してください。管理者パスワードの再設定も推奨します。

情報源

• WordPress.org（開発元公式・9.8.1セキュリティ修正）
• CVE.org（CVE情報・CISA ADP評価）
• WPScan（CNA・技術解析）

情報確認日時：2026年9月14日 13:04

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。