Temporary Login Without Passwordでサブサイト管理者からネットワーク全体を乗っ取れる権限昇格（CVE-2026-77752）

WordPressプラグイン「Temporary Login Without Password」の脆弱性情報（CVE-2026-77752）。影響バージョンは1.5以上1.9.9未満。修正版 1.9.9 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Temporary Login Without Password（プラグイン）

CVE

CVE-2026-77752

CVSS / 深刻度

7.2 / High

影響バージョン

1.5以上1.9.9未満

修正版

1.9.9

脆弱性種別

権限昇格 / Multisite Network Super Admin取得

脆弱性の概要

Temporary Login Without Password 1.5以上1.9.9未満では、WordPress Multisiteの単一サブサイト管理者が、自身または作成した一時ユーザーへNetwork Super Admin権限を付与し、ネットワーク全体を乗っ取れる可能性があります。

技術的な内容

Network Super Admin権限を付与する際に、操作ユーザー自身がネットワーク管理者かを検証していないことが原因です。CVSS 7.2 High。CISA ADPはExploitation:none、Technical Impact:totalと評価しています。WordPress.org公式の1.9.9変更履歴では、Multisite Super Admin付与に追加の権限チェックを導入したことが明記されています。

悪用状況

実攻撃は未確認

推奨対応

Multisiteで使用している場合は1.9.9以上へ直ちに更新してください。サブサイト管理者、Network Super Admin一覧、一時ログインユーザー、最近の権限変更を確認し、不審なSuper Admin追加がないか監査してください。

情報源

• WordPress.org（開発元公式・1.9.9権限チェック強化）
• CVE.org（CVE情報・CISA ADP評価）
• WPScan（CNA・技術解析）

情報確認日時：2026年9月15日 00:56

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。