WORDPRESS SECURITY

LiteSpeed Cache 7.9以下で特定のQUIC.cloud構成時に未認証SSRF・内部情報漏えい（CVE-2026-84761）

High

WordPressプラグイン「LiteSpeed Cache」の脆弱性情報（CVE-2026-84761）。影響バージョンは7.9以下。QUIC.cloud CDNを利用し、オリジンが訪問者の実IPを復元せずCDNプロキシのIPをREMOTE_ADDRとして認識する構成に限る。。修正版 7.9.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年10月14日

対象製品: LiteSpeed Cache（プラグイン）
CVE: CVE-2026-84761
CVSS / 深刻度: 7.2 / High
影響バージョン: 7.9以下。QUIC.cloud CDNを利用し、オリジンが訪問者の実IPを復元せずCDNプロキシのIPをREMOTE_ADDRとして認識する構成に限る。
修正版: 7.9.1
脆弱性種別: 未認証Server-Side Request Forgery（SSRF）／内部ネットワーク応答の漏えい

脆弱性の概要

LiteSpeed Cacheの7.9以下で、QUIC.cloud CDN経由かつオリジン側の実IP復元が無効な場合、未認証の第三者がサイトから内部ネットワーク等へのリクエストを実行させ、その応答を取得できる脆弱性がある。内部サービスや機密情報が露出する恐れがある。対象設定以外には影響しない。

技術的な内容

CVE-2026-84761。CVSS 3.1は7.2（High）、Patchstackの優先度はMedium。2026年9月2日に公表された既知問題だが、ENOL掲載キューに未登録だったため今回確認した。成立にはQUIC.cloud CDN利用と、実IPを復元できずCDNプロキシのIPをREMOTE_ADDRとして扱うオリジン設定の両方が必要。LiteSpeed Web ServerではUse Client IP in Header=Noが該当する。条件を満たす場合、未認証SSRFで内部等の応答内容を読み取られる。現時点で信頼できる実攻撃確認はない。全LiteSpeed Cacheサイトでサイト乗っ取りが成立するという意味ではない。

悪用状況

実攻撃は未確認

推奨対応

LiteSpeed Cacheを7.9.1以上へ更新する。QUIC.cloud利用サイトはオリジンの実IP復元設定（LiteSpeed Web ServerではUse Client IP in Header）とREMOTE_ADDRを確認する。影響構成で旧版を利用していた場合はアクセスログと内部サービスへの不審なリクエストを調査し、機密情報の漏えいが疑われる場合は保守担当に認証情報変更等を相談する。

情報源

情報確認日時：2026年10月14日 12:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。