The Events Calendarに未認証コードインジェクションからRCEに至るCritical脆弱性（CVE-2026-78159）

WordPressプラグイン「The Events Calendar」の脆弱性情報（CVE-2026-78159）。影響バージョンは6.17.3以下。修正版 6.17.3.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

The Events Calendar（プラグイン）

CVE

CVE-2026-78159

CVSS / 深刻度

9.8 / Critical

影響バージョン

6.17.3以下

修正版

6.17.3.1

脆弱性種別

未認証コードインジェクション / Remote Code Execution

脆弱性の概要

The Events Calendar 6.17.3以下には、イベントコメント内の細工されたlegacy widgetブロックを処理する際、未認証攻撃者がwidgetのclasses map検証を回避して任意callableを実行し、RCEに至るCritical脆弱性があります。

技術的な内容

parse_array()でwidgetのclasses mapに対する検証が不十分で、plain arrayを使うことでis_safe_widget_instance()のオブジェクト検査を回避し、Element_Classes::parse_array()のcallable実行箇所へ到達できます。悪用にはtribe_events投稿でコメントが有効で、細工されたwp:legacy-widgetブロックを含むコメントが処理されることが必要です。Patchstack評価はCVSS 9.8 Critical。現時点で信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

The Events Calendarを6.17.4.1など6.17.3.1以上の安全な版へ直ちに更新してください。更新までtribe_events投稿のコメントを無効化し、wp:legacy-widgetを含むコメント、最近のPHPファイル変更、Web/PHPログを確認してください。

情報源

• WordPress.org（開発元公式・6.17.3.1/6.17.4.1のセキュリティ修正）
• CVE.org（CVE情報）
• Patchstack（技術情報・影響範囲・修正版）

情報確認日時：2026年9月13日 00:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。