WORDPRESS SECURITY

Site Reviewsに未認証PHP Object Injection、条件次第でRCEにつながる脆弱性（CVE-2026-82925）

High

WordPressプラグイン「Site Reviews」の脆弱性情報（CVE-2026-82925）。影響バージョンは7.2.2以上8.3.0未満。修正版 8.3.0 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Site Reviews（プラグイン）
CVE: CVE-2026-82925
CVSS / 深刻度: 8.1 / High
影響バージョン: 7.2.2以上8.3.0未満
修正版: 8.3.0
脆弱性種別: 未認証PHP Object Injection / Deserialization of Untrusted Data / 条件付きRemote Code Execution

脆弱性の概要

Site Reviews 7.2.2以上8.3.0未満には、特定のWordPressセキュリティキー設定下で未認証の攻撃者が任意のPHPオブジェクトを注入できる脆弱性があります。他のプラグインやテーマに利用可能なPOPチェーンが存在する場合、RCEなどサイト侵害へ発展する可能性があります。

技術的な内容

フォーム署名を保護するキーがWordPressのnonce keyから生成されますが、nonce keyが未設定、サンプル値のまま、または短すぎる環境ではキーを外部から算出でき、細工したシリアライズデータを送信できます。Site Reviews自身にはRCEへ直結するガジェットチェーンは含まれず、実害は同一サイト上の他コードに依存します。WordPress.orgの8.3.0変更履歴ではreview formのPHP object injection修正が明記され、現行版は8.3.1です。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

8.3.0以上、可能であれば現行8.3.1へ直ちに更新してください。WordPressの認証キー・salt、特にNONCE_KEYが既定値・短い値・未設定でないことを確認し、該当する場合は更新後に十分なランダム値へローテーションしてください。不審なフォーム署名やシリアライズデータを含むリクエスト、最近のファイル変更、未知の管理者を確認してください。

情報源

情報確認日時：2026年9月11日 19:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。