The Events Calendarに未認証PHP Object InjectionからRCEに至るCritical脆弱性（CVE-2026-78006）

WordPressプラグイン「The Events Calendar」の脆弱性情報（CVE-2026-78006）。影響バージョンは6.17.4以下。修正版 6.17.4.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

The Events Calendar（プラグイン）

CVE

CVE-2026-78006

CVSS / 深刻度

9.8 / Critical

影響バージョン

6.17.4以下

修正版

6.17.4.1

脆弱性種別

未認証PHP Object Injection / Remote Code Execution

脆弱性の概要

The Events Calendar 6.17.4以下には、コメント経由の細工されたlegacy widgetブロックを処理する際に未認証攻撃者がPHP Object Injectionを悪用し、条件を満たすサイトで任意コード実行に至るCritical脆弱性があります。

技術的な内容

is_safe_widget_instance()の保護をPHPのマジックメソッド実行タイミングとwp_hash整合性値の生成を組み合わせて回避し、unserialize()へ悪意あるオブジェクトを到達させる問題です。V2の単一イベント表示でコメントHTMLにdo_blocks()が実行されるため、イベント投稿でコメントが有効かつ表示される構成では、未承認コメントでもmoderation-hash URL経由で攻撃経路が成立し得ます。Patchstack評価はCVSS 9.8 Critical。現時点で信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

The Events Calendarを6.17.4.1以上へ直ちに更新してください。更新までtribe_events投稿のコメントを無効化・非表示にし、wp:legacy-widgetを含む不審コメント、最近のPHPファイル変更、Web/PHPログを確認してください。

情報源

• WordPress.org（開発元公式・6.17.4.1のセキュリティ修正）
• CVE.org（CVE情報）
• Patchstack（技術情報・影響範囲・修正版）

情報確認日時：2026年9月13日 00:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。