HivePress Authenticationに未認証の認証回避脆弱性（CVE-2026-18056）

WordPressプラグイン「HivePress Authentication」の脆弱性情報（CVE-2026-18056）。影響バージョンは1.1.4以下。修正版 1.1.5 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

HivePress Authentication（プラグイン）

CVE

CVE-2026-18056

CVSS / 深刻度

7.5 / High

影響バージョン

1.1.4以下

修正版

1.1.5

脆弱性種別

未認証の認証回避 → アカウント乗っ取り

脆弱性の概要

HivePress Authentication 1.1.4以下には、Facebook認証のアクセストークン検証不備により、条件を満たす既存ユーザーへなりすませる認証回避脆弱性があります。管理者アカウントが対象になればサイト侵害につながります。

技術的な内容

Facebook認証処理が提示されたaccess_tokenのアプリケーション／audience等を十分に検証せず、取得したユーザー情報をログイン判断に利用することが原因です。悪用には対象ユーザーに関連する有効なFacebookアクセストークン等の条件があります。CVE-2026-18056はCVSS 7.5 High、修正版は1.1.5です。現時点で公知の実攻撃は確認できません。

悪用状況

実攻撃は未確認

推奨対応

HivePress Authenticationを1.1.5以上へ直ちに更新してください。Facebookログインを利用している場合は不審なログイン・セッション、管理者アカウント、関連トークンの利用状況を確認してください。不要な場合は当該ソーシャルログイン機能を無効化し、侵害が疑われるトークンやセッションを失効してください。

情報源

• WordPress.org（開発元配布・修正版1.1.5）
• CVE.org（CVE情報）
• Patchstack（技術解析・修正版情報）

情報確認日時：2026年9月8日 06:49

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。