Advanced Custom Fieldsの脆弱性。ログインなしで不正な処理を仕込まれるおそれ、6.8.11へ更新を（CVE-2026-110813）

まず確認してください

放置すると

不正なプログラムを動かされ、サイトを乗っ取られたり改ざんされたりするおそれがあります。ログインしていない第三者でも狙えるタイプです。

自社が対象かの確認

WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、「Advanced Custom Fields」があるかを探します。なければ、この情報は関係ありません。あれば、表示されたバージョンを確かめます。対象のバージョンは「Advanced Custom Fields（WordPress.orgスラッグ advanced-custom-fields）6.8.11未満（6.8.10以前）。特に攻撃者が入力できる内容が影響対象のフィールド定義に反映され、そのフィールドがページに表示される構成。」です。

対象だったら

修正版へ更新します（修正版：Advanced Custom Fields 6.8.11以降（2026年11月2日公開））。更新の前にバックアップを取り、更新後に主なページと問い合わせフォームの表示を確かめてください。

自分でできないとき

管理画面に入れない、見方が分からないときは、今の制作会社や保守会社へ「Advanced Custom Fieldsは入っていますか。バージョンはいくつですか」と聞けば確認できます。担当がいないときは、このページの下の窓口から状況をお送りください。

詳しい情報（制作会社・保守担当の方向け）

WordPressプラグイン「Advanced Custom Fields」の脆弱性情報（CVE-2026-110813）。影響バージョンはAdvanced Custom Fields（WordPress.orgスラッグ advanced-custom-fields）6.8.11未満（6.8.10以前）。特に攻撃者が入力できる内容が影響対象のフィールド定義に反映され、そのフィールドがページに表示される構成。。修正版 Advanced Custom Fields 6.8.11以降（2026年11月2日公開） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Advanced Custom Fields（プラグイン）

CVE

CVE-2026-110813

CVSS / 深刻度

7.5 / High

影響バージョン

Advanced Custom Fields（WordPress.orgスラッグ advanced-custom-fields）6.8.11未満（6.8.10以前）。特に攻撃者が入力できる内容が影響対象のフィールド定義に反映され、そのフィールドがページに表示される構成。

修正版

Advanced Custom Fields 6.8.11以降（2026年11月2日公開）

脆弱性種別

認証不要のStored Cross-Site Scripting（保存型XSS、CWE-79）。フィールド定義へのHTML属性名インジェクション

脆弱性の概要

2026年11月6日にCVE-2026-110813が公表されました。Advanced Custom Fieldsの6.8.11未満では、コメント処理を通じて変更され得るフィールド定義の無害化が不十分なため、ログインしていない第三者が不正な値を仕込み、影響を受けるフィールドが表示されたページを見た訪問者や管理者のブラウザーで意図しない処理を実行させるおそれがあります。管理者が被害を受けると不正操作につながる可能性がありますが、サーバー上の任意コード実行や実際のサイト侵害が確認されたわけではありません。11月2日公開の6.8.11で修正されています。CVEの評価はCVSS v3.1 7.5（High）、Patchstackの評価はCVSS 7.1・独自優先度Mediumです。実際の悪用は確認されていません。

技術的な内容

WPScanが2026年11月4日に公開し、11月9日に更新した情報によると、Advanced Custom Fields < 6.8.11に、未認証の攻撃者がコメント処理を介して保存されたフィールド定義に悪意のあるHTML属性名を注入できるStored XSS（CWE-79）があります。影響対象のフィールドをレンダリングしたページをユーザーや管理者が閲覧すると、そのブラウザーでJavaScriptが実行され得ます。成功には当該フィールドが表示されることが必要で、どのサイトでも無条件に発動するわけではありません。WPScan評価CVSS v3.1 7.5（High、AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）、Patchstack評価CVSS 7.1（独自優先度Medium）。CVE.orgには11月6日に登録。開発元の6.8.11修正履歴では「Save Custom Values」機能によるフィールド設定変更とHTML属性の追加を抑止する修正を公表しています。開発元はACF/ACF PRO両方へのセキュリティ修正を告知していますが、本CVEで確認できる対象製品はスラッグadvanced-custom-fieldsのAdvanced Custom Fieldsであり、別のアドオンやExtended PROを同一製品として扱いません。WPScanは実証コードを12月4日まで非公開としており、実攻撃・サイト侵害を示す報告は確認できません。

悪用状況

実攻撃は未確認

推奨対応

Advanced Custom Fieldsを6.8.11以降に更新してください。更新前にファイル・データベースをバックアップし、更新後はACFフィールドの保存・表示、公開フォーム、コメント関連表示、独自のフィールドグループと位置ルールを確認してください。特にCheckbox、Radio、Selectの「Save Custom Values」や独自のフロントエンドフォームを使う場合は、開発元の互換性注意事項に従って動作確認してください。ACF PRO利用サイトも開発元が6.8.11への更新を推奨しています。見覚えのない管理者操作、改ざんされたフィールド定義、不審なスクリプトがないか点検し、侵害の疑いがあればログ等の証拠を保全してください。

情報源

• ACF開発元公式：6.8.11セキュリティリリース（2026年11月2日）
• WPScan：CVE-2026-110813（未認証の保存型XSS、CVSS 7.5、6.8.11で修正）
• CVE.org：CVE-2026-110813（2026年11月6日公開）
• Patchstack：CVE-2026-110813（影響版・修正版・独自優先度Medium、CVSS 7.1）

情報確認日時：2026年11月11日 00:48

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。