WORDPRESS SECURITY

SiteSkiteに未認証の権限昇格脆弱性（CVE-2026-81805）

High

WordPressプラグイン「SiteSkite MCP AI – Connector for Claude, ChatGPT, Cursor & WordPress WebOps」の脆弱性情報（CVE-2026-81805）。影響バージョンは2.1.5以下。修正版 2.1.6 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: SiteSkite MCP AI – Connector for Claude, ChatGPT, Cursor & WordPress WebOps（プラグイン）
CVE: CVE-2026-81805
CVSS / 深刻度: 8.1 / High
影響バージョン: 2.1.5以下
修正版: 2.1.6
脆弱性種別: 未認証の権限昇格 / Incorrect Privilege Assignment

脆弱性の概要

SiteSkite 2.1.5以下には、未認証の攻撃者が権限昇格できる脆弱性があります。SiteSkiteは管理者ユーザーやプラグイン、テーマ、バックアップ、AI経由のサイト操作を扱うため、悪用された場合はサイト侵害につながる重大な影響があります。

技術的な内容

CVE-2026-81805はCWE-266に分類される未認証の権限昇格で、CVSS 8.1 High、ネットワーク経由・認証不要・ユーザー操作不要です。公開情報では具体的な攻撃手順は限定されています。WordPress.orgの2.1.6変更履歴ではremote management and loggingのセキュリティ強化が記載されています。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

2.1.6以上へ直ちに更新してください。SiteSkiteの接続状態、APIキーやAI/MCP接続、予期しない管理者ユーザー・ロール変更、プラグイン／テーマ操作、バックアップ・復元履歴、リモート管理ログを監査してください。侵害が疑われる場合はSiteSkite/APIトークンとWordPress認証情報をローテーションしてください。

情報源

情報確認日時：2026年9月11日 19:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。