WORDPRESS SECURITY

ProfilePressに未認証RCE、任意プラグインをインストール可能（CVE-2026-66047）

Critical

WordPressプラグイン「ProfilePress」の脆弱性情報（CVE-2026-66047）。影響バージョンは4.17.2未満。修正版 4.17.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: ProfilePress（プラグイン）
CVE: CVE-2026-66047
CVSS / 深刻度: 9.2 / Critical
影響バージョン: 4.17.2未満
修正版: 4.17.2
脆弱性種別: 未認証Remote Code Execution / 任意プラグインインストール

脆弱性の概要

ProfilePress 4.17.2未満には、認証されていない攻撃者が接続用トークンを総当たりし、任意のプラグインを外部URLからインストール・有効化できる脆弱性があります。攻撃用PHPを含むプラグインを有効化できるため、最終的にリモートコード実行とサイト完全侵害につながります。WordPress.orgでは100,000以上の有効インストールがあります。

技術的な内容

ppress_connect_process の接続処理で使用される32ビット相当のトークンが総当たり可能で、認証なしに処理へ到達できる点が問題です。さらに攻撃者が指定した file URL からプラグインを取得・有効化できるため、任意PHPコード実行へ連鎖します。CVSS v4.0は9.2 Critical、v3.1は8.1 Highで、攻撃複雑度は高いものの成立時の影響は重大です。公式4.17.2ではライセンスアップグレーダーのセキュリティ改善が行われています。

悪用状況

実攻撃は未確認

推奨対応

ProfilePressを4.17.2以上へ更新してください。影響バージョンを公開していた場合は、未知のプラグイン追加・有効化、wp-content/plugins配下の不審ファイル、admin-ajax.phpへの不審アクセスを確認してください。不審な変更が見つかった場合は管理者認証情報やApplication Password等も再発行してください。

情報源

情報確認日時：2026年9月1日 18:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。