WORDPRESS SECURITY

Newfold系WordPressプラグインに未認証の認証回避・管理者権限取得（CVE-2026-80099）

High

WordPressプラグイン「Newfold系プラグイン（Bluehost / HostGator / Web.com / Crazy Domains / WP Module Data）」の脆弱性情報（CVE-2026-80099）。影響バージョンはBluehost <= 4.19.0; HostGator <= 3.2.0; WP Plugin Web <= 2.3.5; Crazy Domains <= 2.5.2; WP Module Data <= 2.9.7。修正版 Bluehost 4.19.1; HostGator 3.2.1; WP Plugin Web 2.3.6; Crazy Domains 2.5.3; WP Module Data 2.9.8 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月9日

対象製品: Newfold系プラグイン（Bluehost / HostGator / Web.com / Crazy Domains / WP Module Data）（プラグイン）
CVE: CVE-2026-80099
CVSS / 深刻度: 8.8 / High
影響バージョン: Bluehost <= 4.19.0; HostGator <= 3.2.0; WP Plugin Web <= 2.3.5; Crazy Domains <= 2.5.2; WP Module Data <= 2.9.7
修正版: Bluehost 4.19.1; HostGator 3.2.1; WP Plugin Web 2.3.6; Crazy Domains 2.5.3; WP Module Data 2.9.8
脆弱性種別: 未認証の認証回避 / 管理者権限取得

脆弱性の概要

Bluehost、HostGator、Web.com、Crazy DomainsなどNewfold系WordPressプラグインが共有するwp-module-dataの認証処理に不備があり、未認証の攻撃者が管理者としてREST APIを実行し、管理者アカウント作成などからサイトを完全侵害できる可能性があります。

技術的な内容

wp-module-dataのauthenticate()は、サイト側にHiive接続トークンが保存されていない場合でもBearer署名検証を継続していました。空のトークンから予測可能なsaltが生成されるため、攻撃者はHTTPメソッド、URL、本文、X-Timestampから有効なBearer値をオフラインで算出できます。認証に成功すると最初のadministratorユーザーがcurrent userとして設定され、管理者権限のREST操作が可能になります。Newfold公式GitHubでは、接続トークンが空の場合に認証処理を中止する修正と回帰テストが追加されています。CVE CNAのCVSSは8.8 Highですが、Patchstackは未認証攻撃として9.8 Criticalと評価しています。現時点で信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

対象プラグインを修正版以上へ直ちに更新してください。更新できない場合は対象のホスティング連携プラグインを一時停止し、不審な管理者アカウント、新規ユーザー作成、REST APIアクセス、Authorization: BearerおよびX-Timestampを含む不審リクエストを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

情報確認日時：2026年9月9日 18:08

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。