WORDPRESS SECURITY

Hummingbirdに未認証RCE脆弱性（CVE-2026-83627）

Critical

WordPressプラグイン「Hummingbird Performance – Cache & Page Speed Optimization」の脆弱性情報（CVE-2026-83627）。影響バージョンは3.21.0以下。修正版 3.21.1以上（3.21.2推奨）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Hummingbird Performance – Cache & Page Speed Optimization（プラグイン）
CVE: CVE-2026-83627
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 3.21.0以下
修正版: 3.21.1以上（3.21.2推奨）
脆弱性種別: 未認証RCE（Page Cache Debug Logへのコード注入）

脆弱性の概要

Hummingbird 3.21.0以下では、Page CachingのDebug Logを有効にしている環境で、未認証の攻撃者がWeb公開領域のデバッグログへ攻撃者制御データを書き込み、PHPコード実行に到達できる脆弱性があります。

技術的な内容

Page Cacheのデバッグログはwp-content/wphb-logs/page-caching-log.phpに保存されますが、保護用PHPヘッダーが付与されない場合があり、wphb_cache_で始まるCookie名が適切に無害化されず記録されます。CVE CNA評価はCVSS 9.8 Criticalです。悪用にはPage CachingとDebug Logの有効化が必要で、現時点で実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Hummingbirdを3.21.2以上へ更新してください。更新までPage CacheのDebug Logを無効化し、wp-content/wphb-logs/page-caching-log.php、不審なPHPファイル、直近のアクセスログを確認してください。

情報源

情報確認日時：2026年9月6日 06:43

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。