WORDPRESS SECURITY

WP Import Export Liteに認証済みRCE、任意パスへのファイル書き込み（CVE-2026-76550）

High

WordPressプラグイン「WP Import Export Lite」の脆弱性情報（CVE-2026-76550）。影響バージョンは3.9.34未満。修正版 3.9.34 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月17日

対象製品: WP Import Export Lite（プラグイン）
CVE: CVE-2026-76550
CVSS / 深刻度: — / High
影響バージョン: 3.9.34未満
修正版: 3.9.34
脆弱性種別: 認証済みRemote Code Execution / Path Traversal / 任意ファイル書き込み（export権限が必要）

脆弱性の概要

WP Import Export Lite 3.9.34未満には、プラグインのexport権限を持つユーザーが出力先パスの検証不備を悪用し、サーバー上の任意場所へ任意名のファイルを書き込んでRemote Code Executionに至れる脆弱性があります。

技術的な内容

CVE-2026-76550は2026年9月16日にWPScan CNAから公開されました。ユーザー指定のexport出力パスを十分に制限せず、任意パスへファイル生成できることが原因です。悪用にはWP Import Export Liteのexport権限が必要で、未認証攻撃ではありません。CNA/NVDの正式CVSSは確認時点で未採点です。公開PoCは確認できますが、CISA KEV掲載や信頼できる実攻撃観測は確認できません。

悪用状況

実攻撃は未確認

推奨対応

WP Import Export Liteを3.9.34以上、可能であれば現行最新版3.9.35へ直ちに更新してください。export権限を付与しているユーザーを棚卸しし、不要な権限を削除してください。脆弱版を利用していた場合はWebルートやuploads、plugin/theme配下を含む不審なPHP/PHTMLファイル、ファイル改変、Web/PHPログを確認してください。

情報源

情報確認日時：2026年9月17日 07:01

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。