The Events Calendarの未認証RCE脆弱性で実攻撃確認（CVE-2026-78006）

WordPressプラグイン「The Events Calendar」の脆弱性情報（CVE-2026-78006）。影響バージョンは6.17.4以下。修正版 6.17.4.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

The Events Calendar（プラグイン）

CVE

CVE-2026-78006

CVSS / 深刻度

9.8 / Critical

影響バージョン

6.17.4以下

修正版

6.17.4.1

脆弱性種別

未認証PHP Object Injection / Remote Code Execution

脆弱性の概要

The Events Calendar 6.17.4以下の未認証PHP Object InjectionからRCEに至る脆弱性について、Patchstackの現在の「Recently exploited vulnerabilities」に掲載され、既知の悪用ありと分類されました。以前お知らせした時点では実攻撃は確認されていなかったため、改めてお知らせします。

技術的な内容

未認証の攻撃者が信頼できないデータのデシリアライズを悪用し、条件を満たす環境で任意コード実行へ到達できるCritical脆弱性です。CVSS 9.8。Patchstackは6.17.4以下を脆弱、6.17.4.1を修正版とし、現在はKnown to be exploitedおよびRecently exploitedに分類しています。CISA KEV掲載を根拠とした判定ではなく、Patchstackの悪用観測・分類に基づく実攻撃確認です。

悪用状況

実攻撃を確認

推奨対応

The Events Calendarを6.17.4.1以上、可能であれば現行最新版へ直ちに更新してください。脆弱なバージョンを運用していた場合は、不審なリクエスト・コメント、Web/PHPログ、最近追加・変更されたPHPファイルやWebシェル、不審なAdministratorアカウントを確認し、侵害の兆候があれば資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

• WordPress.org（開発元公式・6.17.4.1セキュリティ修正）
• CVE.org（CVE情報）
• Patchstack（脆弱性情報・悪用確認）
• Patchstack（Recently exploited vulnerabilities）

情報確認日時：2026年9月16日 06:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。