WORDPRESS SECURITY

Rank Math SEO 1.0.276以前に寄稿者権限でRCEにつながるPHPオブジェクトインジェクション（CVE-2026-1928）

High

WordPressプラグイン「Rank Math SEO – AI SEO Tools to Dominate SEO Rankings」の脆弱性情報（CVE-2026-1928）。影響バージョンはRank Math SEO 1.0.276以下。修正版 1.0.277（2026年8月26日公開）。最新版1.0.280でも修正済み。への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年10月29日

対象製品: Rank Math SEO – AI SEO Tools to Dominate SEO Rankings（プラグイン）
CVE: CVE-2026-1928
CVSS / 深刻度: 8.8 / High
影響バージョン: Rank Math SEO 1.0.276以下
修正版: 1.0.277（2026年8月26日公開）。最新版1.0.280でも修正済み。
脆弱性種別: 認証済み（Contributor以上）PHPオブジェクトインジェクション、POPチェーン併用時の任意PHPファイル設置・RCE

脆弱性の概要

2026年10月27日、WordfenceがRank Math SEOのPHPオブジェクトインジェクション脆弱性CVE-2026-1928を公表しました。1.0.276以前では寄稿者（Contributor）以上でログインした攻撃者がREST APIのupdateMeta処理を通じて不正なPHPオブジェクトを注入でき、利用可能なPOPチェーンが存在するとuploadsディレクトリへのWebシェル設置を通じて遠隔コード実行につながる恐れがあります。未認証で直接悪用できる脆弱性ではありません。修正版1.0.277は2026年8月26日に公開済みです。実環境での悪用は確認されていません。

技術的な内容

Wordfenceによると、updateMeta REST APIエンドポイントが外部入力を安全でない形でデシリアライズするため、Contributor権限以上の利用者がPHPオブジェクトを注入できます。追加のPOP（Property-Oriented Programming）チェーンが悪用可能な場合、uploadsにWebシェルを書き込んでコード実行する経路が生じます。CVSS v3.1は8.8（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。PatchstackはCVSS 8.8を掲載する一方、実際の悪用見込みに関する独自優先度をLowとしており、CVSSと脅威優先順位は同一ではありません。CVE公表は10月27日ですが、修正版1.0.277は8月26日に公開されています。対象は本体プラグイン（slug: seo-by-rank-math）であり、派生アドオンではありません。

悪用状況

実攻撃は未確認

推奨対応

Rank Math SEOを1.0.277以上、可能であればWordPress.orgで公開中の最新版1.0.280へ更新してください。寄稿者・投稿者を含むユーザー権限と不要アカウントを点検し、特にuploads配下の見覚えのないPHPファイル、不審なREST API操作、追加管理者アカウントやファイル改ざんの痕跡を確認してください。Webサーバーでuploads配下のPHP実行を禁止することも被害抑制に有効ですが、更新の代替にはなりません。実攻撃は未確認のため、全サイトが侵害されたとは扱わないでください。

情報源

情報確認日時：2026年10月28日 12:11

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。