WORDPRESS SECURITY

FireBoxにAuthor権限からRCE・権限昇格可能な重大脆弱性（CVE-2026-76801）

High

WordPressプラグイン「FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment」の脆弱性情報（CVE-2026-76801）。影響バージョンは3.1.10以下。修正版 3.1.11以上（現行3.1.13推奨）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月9日

対象製品: FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment（プラグイン）
CVE: CVE-2026-76801
CVSS / 深刻度: 8.8 / High
影響バージョン: 3.1.10以下
修正版: 3.1.11以上（現行3.1.13推奨）
脆弱性種別: 認証済みAuthor+ Remote Code Execution／権限昇格

脆弱性の概要

FireBox 3.1.10以下には、Author以上の認証済みユーザーがサーバー側でコードを実行し、管理者作成や設定変更、ファイル書き込みなどを通じてサイトを完全侵害できる重大脆弱性があります。特に3.1.10より前の版からアップグレードした環境では、移行処理によりAuthorへFireBox編集権限が付与されている場合があります。

技術的な内容

CVE-2026-76801は、PHP条件処理のExecuter::allowedToRun()にある回避可能な正規表現ブラックリストと、firebox_meta RESTエンドポイントから保存されるPHP条件値の検証不足が組み合わさることで発生します。wp_insert_user、update_option、file_put_contents等のWordPress/PHP機能を実行でき、RCEから権限昇格・サイト侵害につながります。CVSS 8.8 High。CVEは2026年9月9日に公開され、現時点で信頼できる実攻撃確認やCISA KEV掲載は確認できません。

悪用状況

実攻撃は未確認

推奨対応

FireBoxを3.1.11以上、可能であれば現行3.1.13へ直ちに更新してください。Authorを含むユーザーのFireBox権限（edit_fireboxes、publish_fireboxes等）、未知の管理者追加、最近変更されたPHPファイル、wp_optionsの不審な変更、firebox_meta REST APIへのアクセスを確認してください。不要なAuthorアカウントや過剰権限は削除し、侵害が疑われる場合は認証情報とWordPress認証キー・saltをローテーションしてください。

情報源

情報確認日時：2026年9月9日 12:58

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。