All in One SEO 5.0.2以下に未認証の任意ショートコード実行脆弱性（CVE-2026-19856）

WordPressプラグイン「All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Insights)」の脆弱性情報（CVE-2026-19856 / CVE-2026-100152）。影響バージョンは5.0.2以下。修正版 5.0.2.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Insights)（プラグイン）

CVE

CVE-2026-19856 / CVE-2026-100152

CVSS / 深刻度

6.5 / Medium

影響バージョン

5.0.2以下

修正版

5.0.2.1

脆弱性種別

未認証任意ショートコード実行 / 条件付きコードインジェクション

脆弱性の概要

All in One SEO 5.0.2以下では、検索ページに表示するパンくずリストなどを介し、未認証の外部ユーザーがサイトに登録済みの任意ショートコードを実行させられる場合があります。ショートコードの機能によっては、非公開情報へのアクセスや本来許可されない処理の実行につながります。PHPの任意コード実行やサイト乗っ取りがすべての環境で成立することは確認されていません。

技術的な内容

検索クエリ由来の文字列をショートコードとして解釈する前の検証が不十分です。Wordfenceが示す条件は、AIOSEOのパンくずリストが検索結果ページ上でブロック・ウィジェット・ショートコード・テンプレートタグなどを通じ表示されることです。WPScanは、旧版から更新した一部サイトではショートコード保護が無効となるケースも説明しています。CVSS 3.1は6.5 Medium。CVE-2026-19856（WPScan）とCVE-2026-100152（Wordfence）は同一の問題を指す可能性が高く、PatchstackもCVE番号の衝突として注意喚起しています。両CVEを別脆弱性として二重登録しません。信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

All in One SEOを5.0.2.1以上、可能なら現行5.0.3以上へ更新してください。更新前は検索結果ページにAIOSEOのパンくずリストを表示しないようにし、サイト独自・他プラグイン由来のショートコードに機密情報表示や権限確認不足の処理がないか確認してください。影響版では検索リクエストやサーバーログに不審なショートコード構文がないか確認してください。

情報源

• WordPress.org（開発元配布・5.0.2.1の検索ページ向けショートコード保護修正）
• CVE.org（CVE-2026-19856正式記録）
• WPScan（脆弱性検証・CVSS 6.5・影響範囲）
• Wordfence（発生条件・CVE-2026-100152・修正版）
• Patchstack（2つのCVEが同一問題を指す可能性・修正版）

情報確認日時：2026年10月13日 06:31

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。