Tickeraに未認証PHP Object InjectionのCritical脆弱性（CVE-2026-82226）

WordPressプラグイン「Tickera – Sell Tickets & Manage Events」の脆弱性情報（CVE-2026-82226）。影響バージョンは3.6.0.2以下。修正版 3.6.0.3 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Tickera – Sell Tickets & Manage Events（プラグイン）

CVE

CVE-2026-82226

CVSS / 深刻度

9.8 / Critical

影響バージョン

3.6.0.2以下

修正版

3.6.0.3

脆弱性種別

未認証PHP Object Injection／安全でないデシリアライズ（RCEにつながる可能性）

脆弱性の概要

Tickera 3.6.0.2以下には、未認証で悪用可能なPHP Object Injection脆弱性があります。信頼できないシリアライズデータを処理でき、利用可能なPOP chainが存在する環境では任意コード実行やファイル操作などに発展し、サイト侵害につながる可能性があります。

技術的な内容

CVE-2026-82226はCWE-502、CVSS 9.8 Criticalです。ネットワーク経由・認証不要・ユーザー操作不要で悪用可能と評価されています。WordPress.orgの3.6.0.3変更履歴では、PHP Object Injection Vulnerabilityに対するPatchstackのセキュリティパッチが明記されています。現時点で信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Tickeraを3.6.0.3以上へ直ちに更新してください。更新前に公開していた場合は、シリアライズPHPオブジェクトを示す不審なリクエスト、最近作成・変更されたPHPファイル、未知の管理者アカウント、プラグイン・テーマ変更を確認してください。

情報源

• WordPress.org（開発元公式・3.6.0.3修正履歴）
• CVE.org（CVEレコード）
• Patchstack（技術解析・修正版）

情報確認日時：2026年9月7日 13:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。