Unlimited Elements for Elementorに未認証SQLインジェクション、DB情報流出の恐れ（CVE-2026-18561）

WordPressプラグイン「Unlimited Elements For Elementor」の脆弱性情報（CVE-2026-18561）。影響バージョンは2.0.16以下。修正版 2.0.17（現行最新版への更新を推奨） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Unlimited Elements For Elementor（プラグイン）

CVE

CVE-2026-18561

CVSS / 深刻度

7.5 / High

影響バージョン

2.0.16以下

修正版

2.0.17（現行最新版への更新を推奨）

脆弱性種別

未認証SQL Injection / データベース情報漏えい / 認証情報流出につながる可能性

脆弱性の概要

Unlimited Elements For Elementor 2.0.16以下には、未認証の攻撃者がaddontypeパラメータを悪用してSQLクエリを改変し、WordPressデータベース内の機密情報を取得できるSQLインジェクション脆弱性があります。300,000以上の有効インストールがある主要プラグインで、管理者パスワードハッシュや設定情報などの流出を通じてサイト侵害につながる恐れがあります。

技術的な内容

CVE-2026-18561、CVSS 7.5 High。getWhereString()でユーザー入力のaddontypeが十分にエスケープ・プリペアされずSQL条件へ連結されることが原因です。addontypeを配列として与えると要素0が比較演算子としてそのまま利用され、normalizeAjaxInputData()によってWordPress側のmagic_quotes保護も除去されます。CVE記録では2.0.16以下が影響対象です。開発元の2.0.17リリースではセキュリティ強化とログアウトユーザー向けpublic AJAX actionの無効化が明記されています。確認時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Unlimited Elements For Elementorを2.0.17以上、可能であれば現行最新版へ直ちに更新してください。脆弱版を外部公開していた場合はWebログで不審なAJAXリクエストを確認し、WordPress管理者アカウント、ユーザーテーブル、設定値に不審な変更がないか監査してください。認証情報流出が疑われる場合は管理者パスワードとWordPress認証キー・saltをローテーションしてください。

情報源

• Unlimited Elements公式（開発元・2.0.17セキュリティ修正）
• WordPress.org（公式配布・現行版/変更履歴）
• CVE.org（CVE情報）
• Wordfence Threat Intelligence（CNA・技術情報）

情報確認日時：2026年9月17日 00:40

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。