WordPress脆弱性情報

• 2026年9月24日 High
  All-in-One WP Migrationに認証済みユーザーからAdministratorへ権限昇格できる脆弱性

  • 対象製品All-in-One WP Migration and Backup（プラグイン）
  • 脆弱性種別認証済み権限昇格 / Missing Authorization / Administrator権限取得
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  WP Import Export Liteに任意ファイルアップロードからRCE（CVE-2026-76552）

  • 対象製品WP Import Export Lite（プラグイン）
  • CVECVE-2026-76552
  • 脆弱性種別認証済み任意ファイルアップロード / Remote Code Execution（import権限が必要）
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  WP Import Export Liteで任意PHP関数実行からRCE（CVE-2026-76551）

  • 対象製品WP Import Export Lite（プラグイン）
  • CVECVE-2026-76551
  • 脆弱性種別認証済みRemote Code Execution / 任意PHP関数実行（export権限が必要）
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  WP Import Export Liteに認証済みRCE、任意パスへのファイル書き込み（CVE-2026-76550）

  • 対象製品WP Import Export Lite（プラグイン）
  • CVECVE-2026-76550
  • 脆弱性種別認証済みRemote Code Execution / Path Traversal / 任意ファイル書き込み（export権限が必要）
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  Unlimited Elements for Elementorに未認証SQLインジェクション、DB情報流出の恐れ（CVE-2026-18561）

  • 対象製品Unlimited Elements For Elementor（プラグイン）
  • CVECVE-2026-18561
  • 脆弱性種別未認証SQL Injection / データベース情報漏えい / 認証情報流出につながる可能性
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  Tutor LMSでRead-Only APIキーからAdministrator権限へ昇格できる脆弱性（CVE-2026-85569）

  • 対象製品Tutor LMS – eLearning and online course solution（プラグイン）
  • CVECVE-2026-85569
  • 脆弱性種別Read-Only API Key権限昇格 / REST API認可不備 / Administrator権限取得
  • 実攻撃実攻撃は未確認
• 2026年9月17日 Critical 実攻撃を確認
  TrueBookerに未認証で既存ユーザーのメール変更・アカウント乗っ取り可能なCritical脆弱性（CVE-2026-14349）

  • 対象製品TrueBooker – Appointment Booking and Scheduler System（プラグイン）
  • CVECVE-2026-14349
  • 脆弱性種別未認証の認可回避 / 任意ユーザーメール変更 / Account Takeover / 権限昇格
  • 実攻撃実攻撃を確認
• 2026年9月17日 High
  Contest Galleryに任意ファイルアップロード脆弱性、Webシェル配置の恐れ（CVE-2026-78088）

  • 対象製品Contest Gallery（プラグイン）
  • CVECVE-2026-78088
  • 脆弱性種別Subscriber+ 任意ファイルアップロード / Webシェル配置 / Remote Code Executionにつながる可能性
  • 実攻撃実攻撃は未確認
• 2026年9月17日 Critical
  Advanced Custom Fields: Extended PROに未認証RCE（0.9.2.6以下）

  • 対象製品Advanced Custom Fields: Extended PRO（プラグイン）
  • 脆弱性種別未認証のコードインジェクション / Remote Code Execution / 任意WordPress関数呼び出し
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  ConsultingテーマにSubscriberからAdministrator乗っ取り可能な権限昇格（CVE-2026-14805）

  • 対象製品Consulting - Business, Finance WordPress Theme（テーマ）
  • CVECVE-2026-14805
  • 脆弱性種別Subscriber+ 権限昇格 / 認証回避 / Administratorアカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月17日 Critical 実攻撃を確認
  JetFormBuilderに未認証でAdministrator作成可能なCritical権限昇格、攻撃試行を観測（CVE-2026-12793）

  • 対象製品JetFormBuilder — Dynamic Blocks Form Builder（プラグイン）
  • CVECVE-2026-12793
  • 脆弱性種別未認証の権限昇格 / Administrator作成 / Broken Authentication
  • 実攻撃実攻撃を確認
• 2026年9月17日 Critical 実攻撃を確認
  Admin Menu Editor Proの公式配布基盤が侵害、2.35/2.36にWebシェル型バックドアを混入

  • 対象製品Admin Menu Editor Pro（プラグイン）
  • 脆弱性種別サプライチェーン侵害 / バックドア / Webシェル / 隠しユーザー作成
  • 実攻撃実攻撃を確認
• 2026年9月17日 Critical 実攻撃を確認
  The Events Calendarの未認証RCE脆弱性で実攻撃確認（CVE-2026-78159）

  • 対象製品The Events Calendar（プラグイン）
  • CVECVE-2026-78159
  • 脆弱性種別未認証Code Injection / Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月17日 Critical 実攻撃を確認
  The Events Calendarの未認証RCE脆弱性で実攻撃確認（CVE-2026-78006）

  • 対象製品The Events Calendar（プラグイン）
  • CVECVE-2026-78006
  • 脆弱性種別未認証PHP Object Injection / Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月17日 High
  Eventinに条件付きでSubscriberから管理者権限へ昇格できる脆弱性（CVE-2026-75983）

  • 対象製品Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce（プラグイン）
  • CVECVE-2026-75983
  • 脆弱性種別Subscriber+ 権限昇格 / Administrator相当権限取得 / 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月17日 Critical 実攻撃を確認
  WooCommerce Wholesale Lead Captureの未認証任意ファイルアップロード脆弱性で実攻撃確認（CVE-2026-27540）

  • 対象製品WooCommerce Wholesale Lead Capture（プラグイン）
  • CVECVE-2026-27540
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月17日 High
  Gpx2GraphicsにCSRF経由の任意PHPアップロード・RCE脆弱性（CVE-2026-81090）

  • 対象製品Gpx2Graphics（プラグイン）
  • CVECVE-2026-81090
  • 脆弱性種別CSRF / 任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月17日 Critical
  CODE MONKEYS PROPOSALSにSubscriberから任意ファイル削除・サイト乗っ取りにつながるCritical脆弱性（CVE-2026-77005）

  • 対象製品CODE MONKEYS PROPOSALS（プラグイン）
  • CVECVE-2026-77005
  • 脆弱性種別任意ファイル削除 / Path Traversal / 権限不備
  • 実攻撃実攻撃は未確認
• 2026年9月17日 Critical
  WebTotem BackupsにSubscriberから任意ファイル削除・サイト乗っ取りにつながるCritical脆弱性（CVE-2026-77006）

  • 対象製品WebTotem Backups（プラグイン）
  • CVECVE-2026-77006
  • 脆弱性種別任意ファイル削除 / Path Traversal / 権限不備
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  Add User AutocompleteでSubscriberからAdministratorへ権限昇格できる脆弱性（CVE-2026-87759）

  • 対象製品Add User Autocomplete（プラグイン）
  • CVECVE-2026-87759
  • 脆弱性種別SubscriberからAdministratorへの権限昇格（Multisite）
  • 実攻撃実攻撃は未確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。