WORDPRESS SECURITY

Essential Addons for Elementorに未認証でAdministrator作成可能な権限昇格脆弱性（CVE-2026-18039）

High

WordPressプラグイン「Essential Addons for Elementor – Popular Elementor Templates & Widgets」の脆弱性情報（CVE-2026-18039）。影響バージョンは5.8.6以上6.7.2未満。修正版 6.7.2（現行6.8.3推奨）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Essential Addons for Elementor – Popular Elementor Templates & Widgets（プラグイン）
CVE: CVE-2026-18039
CVSS / 深刻度: 8.1 / High
影響バージョン: 5.8.6以上6.7.2未満
修正版: 6.7.2（現行6.8.3推奨）
脆弱性種別: 未認証の権限昇格 / Mass Assignment / Administratorアカウント作成

脆弱性の概要

Essential Addons for Elementor 5.8.6以上6.7.2未満には、特定のカスタムプロフィールフィールドを設定した登録フォームで、未認証の攻撃者が予約済みのユーザー属性を上書きし、Administratorを含む任意ロールのアカウントを作成できる権限昇格脆弱性があります。WordPress.orgで100万以上の有効インストールがある主要プラグインで、サイト完全侵害につながります。

技術的な内容

Login/Register Formのカスタムプロフィールフィールド処理で、ユーザー入力が保護対象のアカウント属性を上書きできるMass Assignmentが原因です。悪用には特定のラベルを持つカスタムプロフィールフィールドが登録フォームに設定されている必要があり、CVSS 8.1 High（AV:N/AC:H/PR:N/UI:N）です。6.7.2でユーザー登録セキュリティが強化され修正済みです。WPScanはPoCを2026年9月12日に公開予定としており、確認時点では実攻撃は確認されていません。CISA ADPのSSVCはExploitation:none、Technical Impact:totalです。

悪用状況

実攻撃は未確認

推奨対応

Essential Addons for Elementorを6.7.2以上、可能であれば現行6.8.3へ直ちに更新してください。更新できない場合はEA Login/Register Formの公開登録を停止し、カスタムプロフィールフィールドを無効化・見直してください。影響期間中に作成されたAdministratorや不審な高権限ユーザー、登録フォーム送信、ユーザーロール変更を確認し、侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

情報確認日時：2026年9月12日 12:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。