WORDPRESS SECURITY

MyHome Coreに未認証の認証回避から管理者アカウント乗っ取り（CVE-2026-15980）

Critical

WordPressプラグイン「MyHome Core」の脆弱性情報（CVE-2026-15980）。影響バージョンは4.4.5以下。修正版 4.4.6 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: MyHome Core（プラグイン）
CVE: CVE-2026-15980
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 4.4.5以下
修正版: 4.4.6
脆弱性種別: 未認証の認証回避・アカウント乗っ取り

脆弱性の概要

MyHome Core 4.4.5以下には、未認証攻撃者が未確認ユーザーのアクティベーショントークンを生成し、有効な認証Cookieを取得できる脆弱性があります。条件を満たす管理者アカウントを対象にした場合、管理者権限でのサイト乗っ取りにつながります。

技術的な内容

send_link() AJAXハンドラの認可不足とactivate()のトークン検証不備が原因です。MyHomeテーマをLegacy/WPBakeryモードで使用し、フロントエンド登録と確認メールを有効化していること、対象アカウントにmyhome_agent_confirmedユーザーメタが未設定であることが悪用条件です。CVSS 3.1は9.8 Criticalです。現時点でCISA KEV掲載や実攻撃確認は確認できません。

悪用状況

実攻撃は未確認

推奨対応

MyHome Coreを4.4.6以上へ直ちに更新してください。更新までの間はフロントエンド登録を停止することで悪用条件を減らせます。影響条件に該当していた場合は、不審な管理者セッション、ログイン履歴、ユーザー状態、プラグイン・テーマ変更を確認し、侵害が疑われる場合は全セッション失効と認証キー・saltのローテーションを実施してください。

情報源

情報確認日時：2026年9月7日 00:52

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。