WORDPRESS SECURITY

WP Import Export Liteで任意PHP関数実行からRCE（CVE-2026-76551）

High

WordPressプラグイン「WP Import Export Lite」の脆弱性情報（CVE-2026-76551）。影響バージョンは3.9.33未満。修正版 3.9.33 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月17日

対象製品: WP Import Export Lite（プラグイン）
CVE: CVE-2026-76551
CVSS / 深刻度: — / High
影響バージョン: 3.9.33未満
修正版: 3.9.33
脆弱性種別: 認証済みRemote Code Execution / 任意PHP関数実行（export権限が必要）

脆弱性の概要

WP Import Export Lite 3.9.33未満には、プラグインのexport権限を持つユーザーがexportフィールド値に適用するPHP関数を任意に指定し、攻撃者が制御する値に対して任意関数を実行させることでRemote Code Executionに至れる脆弱性があります。

技術的な内容

CVE-2026-76551は2026年9月16日にWPScan CNAから公開されました。export処理で適用可能なPHP関数を安全な許可リストへ制限していないことが原因です。悪用にはWP Import Export Liteのexport権限が必要で、未認証攻撃ではありません。CNA/NVDの正式CVSSは確認時点で未採点です。公開PoCは確認できますが、CISA KEV掲載や信頼できる実攻撃観測は確認できません。

悪用状況

実攻撃は未確認

推奨対応

WP Import Export Liteを3.9.33以上ではなく、同時に公開されたCVE-2026-76550も解消する3.9.34以上、可能であれば現行最新版3.9.35へ更新してください。export権限を付与しているユーザーを棚卸しし、不要権限を削除してください。不審なexport実行、PHPファイル生成、ファイル改変、Web/PHPログを確認してください。

情報源

情報確認日時：2026年9月17日 07:01

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。