Add User AutocompleteでSubscriberからAdministratorへ権限昇格できる脆弱性（CVE-2026-87759）

WordPressプラグイン「Add User Autocomplete」の脆弱性情報（CVE-2026-87759）。影響バージョンは1.2未満。修正版 1.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Add User Autocomplete（プラグイン）

CVE

CVE-2026-87759

CVSS / 深刻度

8.8 / High

影響バージョン

1.2未満

修正版

1.2

脆弱性種別

SubscriberからAdministratorへの権限昇格（Multisite）

脆弱性の概要

Add User Autocomplete 1.2未満では、WordPress Multisite上のSubscriberなど低権限ユーザーが、自分自身へのサイト参加招待に任意のロールを指定し、Administrator権限を取得できる可能性があります。

技術的な内容

サイトメンバー招待作成時にcapabilityチェックとnonce検証がなく、リクエスト側が指定したroleをそのまま使用できることが原因です。CVSS 8.8 High。CISA ADPはExploitation:none、Technical Impact:totalと評価しています。

悪用状況

実攻撃は未確認

推奨対応

1.2以上へ更新してください。Multisite環境では優先度を上げ、最近のサイトメンバー招待、ユーザーロール変更、Administrator追加を確認してください。更新できない場合はプラグインを停止し、不要な低権限アカウントを無効化してください。

情報源

• CVE.org（CVE情報・CISA ADP評価）
• GitHub Security Advisory（脆弱性データベース）
• WPScan（CNA・技術解析）

情報確認日時：2026年9月15日 00:56

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。