WORDPRESS SECURITY

TranslatePressに未認証の管理者アカウント乗っ取り脆弱性（CVE-2026-19632）

Critical

更新日：2026年9月1日

対象製品: TranslatePress – Multilingual（プラグイン）
CVE: CVE-2026-19632
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 3.3.1以下
修正版: 3.3.2
脆弱性種別: 未認証のアカウント乗っ取り

脆弱性の概要

TranslatePress 3.3.1以下には、認証されていない外部ユーザーが管理者のパスワードリセットURLを取得し、管理者アカウントを乗っ取れる脆弱性があります。WordfenceはCVSS 9.8（Critical）として公開しており、修正版3.3.2への更新を推奨しています。

技術的な内容

TranslatePressは翻訳対象文字列を言語別の辞書テーブルへ保存します。自動文字列保存が有効で、対象管理者のプロフィール言語が公開済みの第2言語に設定されている場合、パスワードリセットメール内のURLが翻訳対象として保存されることがあります。公開AJAX処理から辞書データを参照されると、リセットキーを含むURLが外部へ露出し、攻撃者が管理者パスワードを変更してログインできる可能性があります。Wordfenceによると認証は不要です。

悪用状況

実攻撃は未確認

推奨対応

TranslatePressを利用している場合は3.3.2以上へ更新してください。影響バージョンを公開していた場合は、Administratorアカウントの追加・パスワード変更・不審なログイン履歴も確認することを推奨します。管理者アカウントでは2要素認証やパスキー等の追加認証も有効です。

情報源

情報確認日時：2026年8月25日 00:00

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。