WORDPRESS SECURITY

WP Import Export Liteに任意ファイルアップロードからRCE（CVE-2026-76552）

High

WordPressプラグイン「WP Import Export Lite」の脆弱性情報（CVE-2026-76552）。影響バージョンは3.9.33未満。修正版 3.9.33 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月17日

対象製品: WP Import Export Lite（プラグイン）
CVE: CVE-2026-76552
CVSS / 深刻度: — / High
影響バージョン: 3.9.33未満
修正版: 3.9.33
脆弱性種別: 認証済み任意ファイルアップロード / Remote Code Execution（import権限が必要）

脆弱性の概要

WP Import Export Lite 3.9.33未満には、プラグインのimport権限を持つユーザーが指定URLから取得させるファイルの種類・拡張子・内容の検証不備を悪用し、PHP等の実行可能ファイルをサーバーへ保存してRemote Code Executionに至れる脆弱性があります。

技術的な内容

CVE-2026-76552は2026年9月16日にWPScan CNAから公開されました。remote import時に取得するファイルを適切に検証せず保存することが原因です。悪用にはWP Import Export Liteのimport権限が必要で、未認証攻撃ではありません。CNA/NVDの正式CVSSは確認時点で未採点です。公開PoCは確認できますが、CISA KEV掲載や信頼できる実攻撃観測は確認できません。

悪用状況

実攻撃は未確認

推奨対応

WP Import Export Liteを3.9.33以上ではなく、同時に公開されたCVE-2026-76550も解消する3.9.34以上、可能であれば現行最新版3.9.35へ更新してください。import権限を付与しているユーザーを棚卸しし、不要権限を削除してください。uploads等の公開領域にある不審なPHP/PHTMLファイル、remote import履歴、Web/PHPログを確認してください。

情報源

情報確認日時：2026年9月17日 07:01

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。