WORDPRESS SECURITY

Broken Link Checkerに未認証RCE脆弱性（CVE-2026-18937）

Critical

更新日：2026年9月2日

対象製品: Broken Link Checker（プラグイン）
CVE: CVE-2026-18937
CVSS / 深刻度: 9 / Critical
影響バージョン: 2.4.12未満
修正版: 2.4.12
脆弱性種別: 未認証のQuery Variable InjectionからRemote Code Execution

脆弱性の概要

Broken Link Checker 2.4.12未満には、認証されていない攻撃者がPHPグローバル変数を上書きし、特定構成でサーバー上の任意コード実行へ到達できるCritical脆弱性があります。WordPress.orgでは50万以上の有効インストールがあり、CVSS 9.0です。

技術的な内容

プラグインがユーザー入力から受け付けるクエリ変数名を十分に制限していないことが原因です。WordPressが「基本」のパーマリンク構造を使用し、クラシック型（非ブロック）のテーマが有効な場合、攻撃者がPHPグローバル変数を書き換えて任意コード実行へ連鎖できます。認証は不要ですが、成立にはこのサイト構成が必要です。現時点で信頼できる実悪用確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Broken Link Checkerを2.4.12以上、可能であれば最新版へ更新してください。影響構成で公開していた場合は、不審なPHPファイル、未知の管理者・プラグイン追加、アクセスログを確認してください。更新までの暫定対応として、プラグイン停止や「基本」パーマリンク構造を避けることも検討してください。

情報源

情報確認日時：2026年9月2日 12:28

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。