WP Componentに未認証で任意設定を書き換え管理者権限を取得できる脆弱性（CVE-2026-85681）

WordPressプラグイン「WP Component」の脆弱性情報（CVE-2026-85681）。影響バージョンは2.2.4以下。修正版 なし（修正版未確認） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WP Component（プラグイン）

CVE

CVE-2026-85681

CVSS / 深刻度

7.3 / High

影響バージョン

2.2.4以下

修正版

なし（修正版未確認）

脆弱性種別

未認証の任意WordPressオプション更新 / 権限昇格 / 管理者アカウント作成

脆弱性の概要

WP Component 2.2.4以下には、未認証攻撃者が任意のWordPressオプション名と値を指定してサイト設定を書き換えられる脆弱性があります。single-siteではユーザー登録を有効化し既定ロールをAdministratorへ変更することで、未認証からサイト完全侵害へ到達できます。

技術的な内容

未認証で到達可能なアクションにcapability checkとnonce検証がなく、オプション名・値の双方をリクエストから受け取ることが原因です。CNA/NVDでは現時点でCVSS未採点ですが、VulDBの二次評価は7.3 Highです。KEV掲載や信頼できる実攻撃確認はなく、公開情報上の完全修正版も確認できません。

悪用状況

実攻撃は未確認

推奨対応

修正版が確認できるまでWP Componentを停止・削除してください。継続利用が避けられない場合は脆弱なアクションへの外部アクセスをWAF等で遮断し、users_can_register、default_roleなどの重要オプション、不審なAdministrator・新規ユーザーを確認してください。

情報源

• CVE.org（CVE情報・影響範囲）
• WPScan（CNA・技術解析）
• VulDB（二次CVSS・KEV/活動状況）

情報確認日時：2026年9月14日 00:45

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。