WORDPRESS SECURITY

Events Managerに未認証の管理者権限昇格脆弱性（CVE-2026-18366）

High

WordPressプラグイン「Events Manager」の脆弱性情報（CVE-2026-18366）。影響バージョンは7.1以上 7.4.1未満。修正版 7.4.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Events Manager（プラグイン）
CVE: CVE-2026-18366
CVSS / 深刻度: 8.1 / High
影響バージョン: 7.1以上 7.4.1未満
修正版: 7.4.1
脆弱性種別: 未認証の権限昇格 / Administratorアカウント乗っ取り

脆弱性の概要

Events Managerの一部バージョンには、認証されていない外部ユーザーから既存ユーザーの権限や認証情報に影響し、Administrator権限取得につながる脆弱性があります。WordPress.orgでは60,000以上の有効インストールがあり、CVSS自体はHighですがサイト完全乗っ取りにつながるため優先対応対象です。

技術的な内容

カスタム権限のmap_meta_cap処理における認可不備により、条件が成立すると対象ユーザーのパスワード変更、Administratorへの昇格、アカウント削除などにつながります。WordPress.orgの7.4.1変更履歴ではPrivilege Escalation脆弱性の修正が明記されています。WPScanはCVSS 8.1 Highとして評価しています。一部CVE二次評価では9.8も付与されていますが、ここではWPScanの評価を採用しています。現時点で実攻撃確認済みとは判断していません。

悪用状況

実攻撃は未確認

推奨対応

Events Managerを7.4.1以上、可能であれば最新の7.4.3以上へ更新してください。影響期間中はWordPressユーザーの権限変更、パスワード変更、不審なAdministrator追加、ログインセッションを確認してください。

情報源

情報確認日時：2026年9月1日 18:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。