Newfold系Bluehost・HostGatorプラグインの認証回避脆弱性で実攻撃確認（CVE-2026-80099）

WordPressプラグイン「Newfold系プラグイン（Bluehost / HostGator / Web.com / Crazy Domains / WP Module Data）」の脆弱性情報（CVE-2026-80099）。影響バージョンはBluehost <= 4.19.0; HostGator <= 3.2.0; WP Plugin Web <= 2.3.5; Crazy Domains <= 2.5.2; WP Module Data <= 2.9.7。修正版 Bluehost 4.19.1; HostGator 3.2.1; WP Plugin Web 2.3.6; Crazy Domains 2.5.3; WP Module Data 2.9.8 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Newfold系プラグイン（Bluehost / HostGator / Web.com / Crazy Domains / WP Module Data）（プラグイン）

CVE

CVE-2026-80099

CVSS / 深刻度

8.8 / High

影響バージョン

Bluehost <= 4.19.0; HostGator <= 3.2.0; WP Plugin Web <= 2.3.5; Crazy Domains <= 2.5.2; WP Module Data <= 2.9.7

修正版

Bluehost 4.19.1; HostGator 3.2.1; WP Plugin Web 2.3.6; Crazy Domains 2.5.3; WP Module Data 2.9.8

脆弱性種別

未認証の認証回避 / 管理者権限取得

脆弱性の概要

以前お知らせしたCVE-2026-80099について状況が変化し、PatchstackがBluehostおよびHostGatorの影響版をRecently exploited vulnerabilitiesとして掲載しました。VulnCheck KEVにも2026年9月9日付で掲載されたとのクロスチェックがあり、実攻撃確認済みとして扱います。

技術的な内容

Newfold系プラグインが共有するwp-module-dataの認証処理不備により、未認証攻撃者が管理者権限のREST操作へ到達できる問題です。Patchstackの現行WordPress統計ではBluehost <=4.19.0とHostGator <=3.2.0が最近悪用された脆弱性として掲載されています。VulnCheck KEV掲載も確認されていますが、CISA KEVには現時点で未掲載です。実攻撃の明示対象はBluehost/HostGatorであり、他の同一CVE対象製品への攻撃確認までは示されていません。

悪用状況

実攻撃を確認

推奨対応

Bluehost 4.19.1、HostGator 3.2.1、WP Plugin Web 2.3.6、Crazy Domains 2.5.3、WP Module Data 2.9.8以上へ即時更新してください。特にBluehost/HostGatorは既に攻撃対象となっているため最優先とし、不審な管理者・新規ユーザー、REST API、Authorization: Bearer/X-Timestampを含むアクセスを監査してください。

情報源

• Newfold Labs GitHub（開発元修正コミット）
• CVE.org（CVE情報）
• Patchstack（実攻撃観測・Recently exploited）
• ZeroDay.News（VulnCheck KEV掲載のクロスチェック）

情報確認日時：2026年9月13日 00:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。