WP images upload on piclectに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-84171）

WordPressプラグイン「WP images upload on piclect」の脆弱性情報（CVE-2026-84171）。影響バージョンは1.0以下。修正版 なし（修正版未確認） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WP images upload on piclect（プラグイン）

CVE

CVE-2026-84171

CVSS / 深刻度

7.3 / High

影響バージョン

1.0以下

修正版

なし（修正版未確認）

脆弱性種別

未認証の任意ファイルアップロード / Remote Code Execution

脆弱性の概要

WP images upload on piclect 1.0以下には、未認証攻撃者がファイル名や種類の検証を受けずに任意ファイルをWeb公開ディレクトリへ保存でき、PHP等の悪意あるファイルを通じて任意コード実行・サイト完全侵害へ到達できる脆弱性があります。

技術的な内容

アップロード時にファイル名・拡張子・種類を検証せず、外部から到達可能な場所へ書き込むことが原因です。CNA/NVDでは現時点でCVSS未採点ですが、VulDBの二次評価は7.3 Highです。WordPress.com掲載ではバージョン1.0、最終更新2014年で、公開済み修正版は確認できません。KEV掲載や信頼できる実攻撃確認もありません。

悪用状況

実攻撃は未確認

推奨対応

修正版が確認できないため、利用中の場合は直ちに停止・削除してください。アップロード先やwp-content配下で最近追加されたPHP/PHTML等の実行可能ファイル、Webサーバーログ、不審な管理者・バックドアを確認してください。

情報源

• WordPress.com（公式ディレクトリ・製品バージョン／更新状況）
• CVE.org（CVE情報・影響範囲）
• WPScan（CNA・技術解析）
• VulDB（二次CVSS・KEV/活動状況）

情報確認日時：2026年9月14日 00:45

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。