WebTotem BackupsにSubscriberから任意ファイル削除・サイト乗っ取りにつながるCritical脆弱性（CVE-2026-77006）

WordPressプラグイン「WebTotem Backups」の脆弱性情報（CVE-2026-77006）。影響バージョンは1.0.1以下。修正版 修正版未確認 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WebTotem Backups（プラグイン）

CVE

CVE-2026-77006

CVSS / 深刻度

9.6 / Critical

影響バージョン

1.0.1以下

修正版

修正版未確認

脆弱性種別

任意ファイル削除 / Path Traversal / 権限不備

脆弱性の概要

WebTotem Backups 1.0.1以下には、Subscriberなど低権限ユーザーがサーバー上の任意ファイルを削除でき、サイト停止やサイト乗っ取りにつながるCritical脆弱性があります。

技術的な内容

ユーザー指定のファイルパスを検証せず、必要なcapabilityチェックがなく、さらにCSRFチェック結果を破棄して処理を継続することが原因です。CVSS 9.6 Critical。CISA ADPでは現時点のExploitation:noneとされています。WordPress.orgで確認できる配布版は1.0.1で、修正版は確認できません。

悪用状況

実攻撃は未確認

推奨対応

修正版が確認できるまで停止・削除を推奨します。利用していたサイトではWordPressコア、wp-config.php、プラグイン・テーマ等の重要ファイル欠損や改変、エラーログ、ユーザー活動を確認し、バックアップ整合性も確認してください。

情報源

• WordPress.org（公式プラグイン情報・現行1.0.1）
• CVE.org（CVE情報・CVSS/CISA ADP）
• WPScan（CNA・技術解析）

情報確認日時：2026年9月15日 00:56

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。