WORDPRESS SECURITY

Advanced Custom Fields: Extendedに未認証の管理者アカウント乗っ取り脆弱性（CVE-2026-12526）

High

WordPressプラグイン「Advanced Custom Fields: Extended」の脆弱性情報（CVE-2026-12526）。影響バージョンは0.9.2.7未満。修正版 0.9.2.7 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月9日

対象製品: Advanced Custom Fields: Extended（プラグイン）
CVE: CVE-2026-12526
CVSS / 深刻度: 8.1 / High
影響バージョン: 0.9.2.7未満
修正版: 0.9.2.7
脆弱性種別: 未認証の認証回避 / 管理者アカウント乗っ取り

脆弱性の概要

100,000以上の有効インストールがあるAdvanced Custom Fields: Extendedの0.9.2.7未満には、特定条件の公開フロントエンドフォームを悪用して未認証の訪問者が既存管理者のパスワードを書き換え、管理者アカウントを乗っ取れる脆弱性があります。

技術的な内容

Formsモジュールのupdate-userアクションで、リクエスト実行者が対象ユーザーを編集できるかの認可確認が不足しています。公開フォームが既存administratorを固定または訪問者入力で対象にし、passwordフィールドを訪問者入力へマッピングしている場合、未認証の攻撃者が管理者パスワードを上書きできます。既定設定では対象は送信者自身のため、攻撃成立には該当する非標準フォーム設定が必要です。開発元0.9.2.7変更履歴では管理者ユーザー更新時のsecurity check追加が明記されています。CVSS 8.1 High。現時点でCISA KEV掲載や実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Advanced Custom Fields: Extendedを0.9.2.7以上へ更新してください。Formsモジュールで公開されているuser-updateフォームを確認し、administrator/super_adminを対象にする設定や、対象ユーザーID・passwordを訪問者入力にマッピングするフォームは更新完了まで停止してください。該当フォームが公開されていた場合は管理者パスワード変更、全セッション無効化、不審ログイン・ユーザー変更履歴の確認を推奨します。

情報源

情報確認日時：2026年9月9日 18:08

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。