WordPress脆弱性情報

• 2026年10月14日 High
  LiteSpeed Cache 7.9以下で特定のQUIC.cloud構成時に未認証SSRF・内部情報漏えい（CVE-2026-84761）

  • 対象製品LiteSpeed Cache（プラグイン）
  • CVECVE-2026-84761
  • 脆弱性種別未認証Server-Side Request Forgery（SSRF）／内部ネットワーク応答の漏えい
  • 実攻撃実攻撃は未確認
• 2026年10月13日 Medium
  BackWPup 5.7.7未満で復元中断時のバックアップが未認証取得される脆弱性（CVE-2026-86826）

  • 対象製品BackWPup – WordPress Backup & Restore Plugin（プラグイン）
  • CVECVE-2026-86826
  • 脆弱性種別未認証の機密情報漏えい／バックアップアーカイブのダウンロード
  • 実攻撃実攻撃は未確認
• 2026年10月13日 Medium
  All in One SEO 5.0.2以下に未認証の任意ショートコード実行脆弱性（CVE-2026-19856）

  • 対象製品All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Insights)（プラグイン）
  • CVECVE-2026-19856 / CVE-2026-100152
  • 脆弱性種別未認証任意ショートコード実行 / 条件付きコードインジェクション
  • 実攻撃実攻撃は未確認
• 2026年10月13日 High
  WooCommerce 9.8.0〜11.1.2でShop Managerの権限昇格につながる不適切なユーザー編集権限（CVE-2026-106608）

  • 対象製品WooCommerce（プラグイン）
  • CVECVE-2026-106608
  • 脆弱性種別認証済み権限昇格 / ユーザー編集権限の不備（Shop Manager）
  • 実攻撃実攻撃は未確認
• 2026年10月13日 High
  WordPress Core 7.1.3未満に未認証Stored XSS（コメント承認画面）

  • 対象製品WordPress Core（WordPress本体）
  • 脆弱性種別未認証Stored XSS
  • 実攻撃実攻撃は未確認
• 2026年10月6日 High
  Welcart e-Commerce 2.12.2以下に未認証Stored XSS（CVE-2026-87091）

  • 対象製品Welcart e-Commerce（プラグイン）
  • CVECVE-2026-87091
  • 脆弱性種別未認証Stored XSS
  • 実攻撃実攻撃は未確認
• 2026年10月3日 High
  MW WP Form 5.1.7以下に未認証Stored XSS（CVE-2026-96567）

  • 対象製品MW WP Form（プラグイン）
  • CVECVE-2026-96567
  • 脆弱性種別未認証Stored XSS / CSRF保護回避
  • 実攻撃実攻撃は未確認
• 2026年10月3日 Medium
  EWWW Image Optimizer 8.8.0未満にAuthor権限からRCEへつながるPHP Object Injection（CVE-2026-91051）

  • 対象製品EWWW Image Optimizer（プラグイン）
  • CVECVE-2026-91051
  • 脆弱性種別認証済みAuthor+ PHP Object Injection / 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年10月3日 High
  All-in-One WP Migration 7.111未満に管理者権限取得につながる権限昇格脆弱性（CVE-2026-81810）

  • 対象製品All-in-One WP Migration and Backup（プラグイン）
  • CVECVE-2026-81810
  • 脆弱性種別認証済み権限昇格 / Missing Authorization / 任意サイトアーカイブImportによるAdministrator取得
  • 実攻撃実攻撃は未確認
• 2026年10月1日 Critical 実攻撃を確認
  WordPress CoreのCVE-2026-87902、5日間で3万IP超から攻撃試行を観測

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-87902
  • 脆弱性種別未認証Path Traversal / Local PHP File Inclusion / 条件付きRemote Code Execution / 大規模な実攻撃試行
  • 実攻撃実攻撃を確認
• 2026年10月1日 Critical 実攻撃を確認
  WordPress CoreのCVE-2026-87902をCISA KEVへ追加、実悪用を米政府が公式確認

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-87902
  • 脆弱性種別未認証Path Traversal / Local PHP File Inclusion / Remote Code Execution / CISA KEV
  • 実攻撃実攻撃を確認
• 2026年10月1日 High
  Elementor 4.3.0〜4.3.1に重大なCSRF脆弱性（CVE-2026-62062）

  • 対象製品Elementor（プラグイン）
  • CVECVE-2026-62062
  • 脆弱性種別未認証CSRF / REST API認証検証回避 / 権限昇格につながる可能性
  • 実攻撃不明
• 2026年10月1日 Critical 実攻撃を確認
  WordPress CoreのCVE-2026-87902、探索段階からコード実行攻撃へ進展

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-87902
  • 脆弱性種別未認証Path Traversal / Local PHP File Inclusion / 任意PHPファイル書き込み / Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月25日 High
  Jetpack 16.1.3でCriticalセキュリティ更新、Import機能のPHP Object Injectionを修正

  • 対象製品Jetpack（プラグイン）
  • 脆弱性種別認証済みPHP Object Injection（Import機能の安全でないデシリアライズ）
  • 実攻撃実攻撃は未確認
• 2026年9月25日 High
  WordPress CoreのComment2Shell、未認証Stored XSSから管理者経由でRCEにつながる脆弱性（CVE-2026-93485）

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-93485
  • 脆弱性種別未認証Stored XSS / 管理者セッション悪用 / 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月24日 Critical 実攻撃を確認
  WordPress CoreのCritical脆弱性CVE-2026-87902で実攻撃プローブを確認、未認証LFIから条件付きRCE

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-87902
  • 脆弱性種別未認証Path Traversal / Local PHP File Inclusion / 条件付きRemote Code Execution / 実攻撃プローブ確認
  • 実攻撃実攻撃を確認
• 2026年9月24日 Critical
  WordPress Coreに未認証Path Traversalから条件付きRCEへ至るCritical脆弱性（CVE-2026-87902）

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-87902
  • 脆弱性種別未認証Path Traversal / Local PHP File Inclusion / 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月24日 High
  WordPress CoreのClick2Shell、細工URLからテーマ自動導入→RCE連鎖の技術詳細とPoC公開

  • 対象製品WordPress Core（WordPress本体）
  • 脆弱性種別未認証誘導型テーマ自動インストール / Selector Injection / 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月24日 High 実攻撃を確認
  All-in-One WP MigrationのRCE脆弱性で実悪用確認（CVE-2026-19949）

  • 対象製品All-in-One WP Migration and Backup（プラグイン）
  • CVECVE-2026-19949
  • 脆弱性種別未認証Second-Order SQL Injection / 秘密鍵取得 / 条件付きRemote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月24日 High
  WordPress 7.1.1で11件のセキュリティ脆弱性を修正、権限・コンテンツ改ざんや未認証Stored XSSを含む

  • 対象製品WordPress Core（WordPress本体）
  • 脆弱性種別未認証Stored XSS / 権限・認可不備 / Contributor+任意投稿上書き / 認証済みPath Traversal / Multisite権限問題
  • 実攻撃実攻撃は未確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。