WORDPRESS SECURITY

Bulk Password ResetにSubscriber権限から管理者アカウントを乗っ取り可能な脆弱性（CVE-2026-14873）

High

WordPressプラグイン「Bulk Password Reset」の脆弱性情報（CVE-2026-14873）。影響バージョンは1.3.3以下。修正版なし（1.3.3が最新。WordPress.orgで配布停止中）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Bulk Password Reset（プラグイン）
CVE: CVE-2026-14873
CVSS / 深刻度: 8 / High
影響バージョン: 1.3.3以下
修正版: なし（1.3.3が最新。WordPress.orgで配布停止中）
脆弱性種別: 認証済みSubscriber+ 権限昇格 / 管理者アカウント乗っ取り

脆弱性の概要

Bulk Password Reset 1.3.3以下には、Subscriber以上の低権限ユーザーが任意ユーザーのメールアドレスやパスワード関連情報を変更し、管理者アカウントを乗っ取ってサイトを完全侵害できる権限昇格脆弱性があります。

技術的な内容

CVE-2026-14873は、ユーザー情報更新時の認可確認が不足しているため、Subscriber以上の認証済み攻撃者が任意ユーザーの情報を変更できる問題です。管理者のメールアドレスを攻撃者が制御する値へ変更し、パスワードリセットを利用して管理者アカウントを取得できます。CNA評価はCVSS 8.0 Highです。WordPress.orgではプラグインは2026年8月19日から配布停止中で、公開されている最新バージョン1.3.3は影響を受けます。現時点でCISA KEV掲載や信頼できる実攻撃確認は確認できません。

悪用状況

実攻撃は未確認

推奨対応

Bulk Password Resetを使用している場合は直ちに停止・削除し、代替手段へ移行してください。修正版は確認できません。Subscriberを含む一般ユーザー登録を許可しているサイトでは、不審な管理者・ユーザー情報変更、管理者メールアドレスの変更、パスワードリセット履歴、最近のログイン履歴を確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

情報確認日時：2026年9月10日 18:40

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。