WatchMan-Site7にSubscriber権限から任意PHP実行可能なCritical RCE（CVE-2026-77009）

WordPressプラグイン「WatchMan-Site7」の脆弱性情報（CVE-2026-77009）。影響バージョンは3.1.1〜4.2.0。修正版の有無と当面の対処法をまとめています。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WatchMan-Site7（プラグイン）

CVE

CVE-2026-77009

CVSS / 深刻度

9.9 / Critical

影響バージョン

3.1.1〜4.2.0

脆弱性種別

Subscriber+ RCE／デバッグコンソールの認可不備

脆弱性の概要

WatchMan-Site7 3.1.1〜4.2.0では、Subscriberを含む低権限の認証済みユーザーがデバッグコンソールへアクセスし、任意のPHPコードをサーバー上で実行できます。CVSS 9.9 Criticalで、サイトおよびサーバーの完全侵害につながります。

技術的な内容

デバッグコンソールが適切な権限チェックで保護されておらず、ユーザー入力のPHPコードをそのまま実行できることが原因です。WPScanによるとプラグインはWordPress.orgで作者都合により恒久的にクローズされ、作者は保守終了を確認しており、修正版は公開されない見込みです。現時点でCISA KEV掲載や実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

修正版がないため、WatchMan-Site7を直ちに無効化・削除してください。Subscriberを含む全ユーザー、最近変更されたPHPファイル、Webシェル、Cron、管理者追加を確認し、侵害が疑われる場合はWordPress・DB・ホスティング認証情報をローテーションしてください。

情報源

• WordPress.org（開発元配布ページ）
• CVE.org（CVEレコード）
• WPScan（技術解析・保守終了情報）

情報確認日時：2026年9月7日 13:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。