Throws SPAM Awayに未認証SQL Injection脆弱性（CVE-2026-81763）

WordPressプラグイン「Throws SPAM Away」の脆弱性情報（CVE-2026-81763）。影響バージョンは3.8.2以下。修正版 3.9 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Throws SPAM Away（プラグイン）

CVE

CVE-2026-81763

CVSS / 深刻度

9.3 / Critical

影響バージョン

3.8.2以下

修正版

3.9

脆弱性種別

未認証SQL Injection

脆弱性の概要

Throws SPAM Away 3.8.2以下には、認証されていない外部ユーザーからSQL Injectionを実行できるCritical脆弱性があります。CVSS 9.3で、データベース内の情報取得や改ざん、可用性への影響につながる可能性があります。WordPress.orgでは10,000以上の有効インストールがあります。

技術的な内容

外部入力がSQLクエリへ安全にバインドされない経路があり、認証なしでデータベースへ不正なクエリを実行できる問題です。公式3.9では$wpdb->prepare()を用いたSQL Injection対策に加え、未認証AJAXハンドラの削除、Nonce検証、ユーザー権限確認の追加が明記されています。Patchstackは3.8.2以下を脆弱、3.9を修正版、CVSS 9.3として公開しています。

悪用状況

実攻撃は未確認

推奨対応

Throws SPAM Awayを3.9以上へ更新してください。影響バージョンを公開していた場合は、アクセスログのSQL Injectionパターン、不審な大量リクエスト、データベース上の異常な変更や情報流出の兆候を確認してください。

情報源

• WordPress.org（公式変更履歴）
• CVE.org（CVEレコード）
• Patchstack（技術解析・CVSS）

情報確認日時：2026年9月2日 00:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。