Shared Files Proに未認証の任意ファイル読み取り脆弱性（CVE-2026-19084）

WordPressプラグイン「Shared Files Pro」の脆弱性情報（CVE-2026-19084）。影響バージョンは1.7.70未満。修正版 1.7.70 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Shared Files Pro（プラグイン）

CVE

CVE-2026-19084

CVSS / 深刻度

7.5 / High

影響バージョン

1.7.70未満

修正版

1.7.70

脆弱性種別

未認証の任意ファイル読み取り／Path Traversal

脆弱性の概要

Shared Files Pro 1.7.70未満には、未認証攻撃者がサーバー上の任意の読み取り可能ファイルを取得し、その内容を公開URLへ再掲載できる脆弱性があります。wp-config.php、バックアップ、秘密鍵などの漏えいから認証情報流出やサイト侵害につながる可能性があります。

技術的な内容

ファイルのfeatured image作成時に与えられるパスを適切に検証しないことが原因で、Path Traversalを利用した任意ファイル読み取りが可能です。CVE-2026-19084はCVSS 7.5 High、認証不要です。PatchstackはHigh priorityとしており、現時点でCISA KEV掲載や実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Shared Files Proを1.7.70以上へ直ちに更新してください。公開エンドポイントへの不審なPath Traversalリクエストと新規公開ファイルを確認し、wp-config.phpや秘密情報が取得された可能性がある場合はDB認証情報、WordPress認証キー・salt、関連APIキーをローテーションしてください。

情報源

• WordPress.org（開発元・Shared Files製品情報）
• CVE.org（CVEレコード）
• Patchstack（技術解析・修正版）

情報確認日時：2026年9月7日 13:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。