WORDPRESS SECURITY

Contest Galleryに任意ファイルアップロード脆弱性、Webシェル配置の恐れ（CVE-2026-78088）

High

WordPressプラグイン「Contest Gallery」の脆弱性情報（CVE-2026-78088）。影響バージョンは32.0.1以下。修正版 33.0.0 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月24日

対象製品: Contest Gallery（プラグイン）
CVE: CVE-2026-78088
CVSS / 深刻度: 8.8 / High
影響バージョン: 32.0.1以下
修正版: 33.0.0
脆弱性種別: Subscriber+ 任意ファイルアップロード / Webシェル配置 / Remote Code Executionにつながる可能性

脆弱性の概要

Contest Gallery 32.0.1以下には、任意ファイルをアップロードしてWebシェル等を配置できる脆弱性があります。Patchstackの詳細欄ではRequired privilegeがSubscriberとされているため、この記事では安全側に倒し、Subscriber以上の権限で悪用できるものとして扱います。

技術的な内容

CVE-2026-78088、CVSS 8.8 High。Patchstackのページタイトル・URLにはUnauthenticatedとありますが、同ページの詳細情報ではRequired privilege: Subscriberと記載されており、情報源内に認証要件の不整合があります。影響範囲は32.0.1以下、33.0.0で修正とされています。任意ファイルアップロードはPHP等の実行可能ファイルを許容する場合、バックドア設置とサイト侵害につながります。確認時点で実攻撃観測は確認できません。

悪用状況

実攻撃は未確認

推奨対応

Contest Galleryを33.0.0以上、可能であれば現行最新版へ更新してください。Subscriberを含むユーザー一覧、アップロード領域のPHP/PHTML等の実行可能ファイル、Web/PHPログ、ファイル改変を確認してください。認証要件の情報が確定するまでは外部から悪用可能な重大ファイルアップロードとして扱うことを推奨します。

情報源

情報確認日時：2026年9月16日 12:53

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。