WORDPRESS SECURITY

Divi Ajax Filterに未認証LFIからコード実行につながる脆弱性（CVE-2026-11613）

Critical

WordPressプラグイン「Divi Ajax Filter」の脆弱性情報（CVE-2026-11613）。影響バージョンは5.1.2以下。修正版 5.1.3 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月4日

対象製品: Divi Ajax Filter（プラグイン）
CVE: CVE-2026-11613
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 5.1.2以下
修正版: 5.1.3
脆弱性種別: 未認証Local File Inclusion（PHPファイル実行）

脆弱性の概要

Divi Ajax Filter 5.1.2以下には、認証されていない攻撃者がローカルPHPファイルを読み込み・実行できるCritical脆弱性があります。特定のカスタムテンプレート設定で成立し、サイト侵害につながる可能性があります。

技術的な内容

CVE-2026-11613はcustom_loop_templateパラメータを介した未認証Local File Inclusionとして公開されています。loop_templatesがcustom-templateに設定されている場合、任意のローカル.phpファイルをincludeして実行できるとされています。5.1.3で修正されています。

悪用状況

実攻撃は未確認

推奨対応

Divi Ajax Filterを5.1.3以上、可能であれば最新版へ直ちに更新してください。更新までcustom-template利用を避け、custom_loop_templateを含む不審なリクエスト、アップロード領域やテーマ・プラグイン配下の不審なPHPファイルを確認してください。

情報源

情報確認日時：2026年9月4日 18:47

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。