WORDPRESS SECURITY

User Registration & MembershipにAuthorからAdministratorへ権限昇格できる脆弱性（CVE-2026-80071）

High

WordPressプラグイン「User Registration & Membership」の脆弱性情報（CVE-2026-80071）。影響バージョンは5.2.8未満。修正版 5.2.8 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: User Registration & Membership（プラグイン）
CVE: CVE-2026-80071
CVSS / 深刻度: 7.2 / High
影響バージョン: 5.2.8未満
修正版: 5.2.8
脆弱性種別: Author+ 権限昇格 / Administrator権限取得

脆弱性の概要

User Registration & Membership 5.2.8未満には、Author以上の認証済みユーザーが任意のMembership Planを自身へ関連付け、Administratorを含む任意ロールへ昇格できる脆弱性があります。成功するとWordPressサイトの完全な管理権限を取得できます。

技術的な内容

Membership Planの作成権限と、自身へ関連付けるPlanの検証が不十分なことが原因です。CISA ADPの評価はCVSS 7.2 High、Exploitation:none、Technical Impact:totalです。開発元のWordPress.org変更履歴では5.2.8でPrivilege escalation via membership roleを修正したことが明記されています。

悪用状況

実攻撃は未確認

推奨対応

5.2.8以上へ直ちに更新してください。Author以上のユーザーが存在するサイトでは、Administratorを含む最近のロール変更、Membership Planの作成・変更、自身へのPlan割り当て履歴、不審な管理者アカウントを確認してください。

情報源

情報確認日時：2026年9月14日 13:04

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。