WordPress脆弱性情報

• 2026年9月17日 High
  Temporary Login Without Passwordでサブサイト管理者からネットワーク全体を乗っ取れる権限昇格（CVE-2026-77752）

  • 対象製品Temporary Login Without Password（プラグイン）
  • CVECVE-2026-77752
  • 脆弱性種別権限昇格 / Multisite Network Super Admin取得
  • 実攻撃実攻撃は未確認
• 2026年9月17日 High
  Ameliaに他ユーザーのWordPressアカウントを乗っ取れる権限不備（CVE-2026-77705）

  • 対象製品Booking for Appointments and Events Calendar – Amelia（プラグイン）
  • CVECVE-2026-77705
  • 脆弱性種別権限チェック不備 / WordPressアカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical 実攻撃を確認
  Everest Forms Proの未認証RCE脆弱性で実攻撃確認（CVE-2026-3300）

  • 対象製品Everest Forms Pro（プラグイン）
  • CVECVE-2026-3300
  • 脆弱性種別未認証Remote Code Execution / PHP Code Injection
  • 実攻撃実攻撃を確認
• 2026年9月14日 High
  Really Simple Securityに未認証でEmail 2FAを無効状態へ戻せる認証回避脆弱性（CVE-2026-89080）

  • 対象製品Really Simple Security（プラグイン）
  • CVECVE-2026-89080
  • 脆弱性種別未認証の2FA状態変更 / 認証回避（対象アカウントのパスワード既知が前提）
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  User Registration & MembershipにSubscriberから管理者権限へ昇格可能な脆弱性（CVE-2026-86406）

  • 対象製品User Registration & Membership（プラグイン）
  • CVECVE-2026-86406
  • 脆弱性種別Subscriber+ 権限昇格 / Membership支払い回避 / 条件付きAdministrator権限取得
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  User Registration & MembershipにAuthorからAdministratorへ権限昇格できる脆弱性（CVE-2026-80071）

  • 対象製品User Registration & Membership（プラグイン）
  • CVECVE-2026-80071
  • 脆弱性種別Author+ 権限昇格 / Administrator権限取得
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  CryptoPayment Gatewayに未認証で任意ファイル削除・設定改変・ウォレット資格情報取得が可能なCritical脆弱性（CVE-2026-81648）

  • 対象製品CryptoPayment Gateway（プラグイン）
  • CVECVE-2026-81648
  • 脆弱性種別未認証のMissing Authorization / 任意ファイル削除 / 設定改変 / ウォレット資格情報漏えい
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Masteriyo LMSにSubscriberから任意コード実行、未認証でも任意ファイル書き込み可能な脆弱性（CVE-2026-82845）

  • 対象製品Masteriyo LMS – LMS Course Builder, Quizzes & Certificates（プラグイン）
  • CVECVE-2026-82845
  • 脆弱性種別Subscriber+ PHP Object Injection / Remote Code Execution / 未認証の任意ファイル書き込み
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Frontegg SAML SSOに未認証で管理者を含む任意ユーザーとしてログインできる認証回避脆弱性（CVE-2026-75800）

  • 対象製品Frontegg SAML SSO（プラグイン）
  • CVECVE-2026-75800
  • 脆弱性種別未認証の認証回避 / 管理者アカウント乗っ取り / 任意アカウント作成
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  DS Ad Rotatorに未認証の任意PHPアップロードからRCEにつながる脆弱性（CVE-2026-81402）

  • 対象製品DS Ad Rotator（プラグイン）
  • CVECVE-2026-81402
  • 脆弱性種別未認証の任意ファイルアップロード / PHPアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  WP images upload on piclectに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-84171）

  • 対象製品WP images upload on piclect（プラグイン）
  • CVECVE-2026-84171
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  WP Componentに未認証で任意設定を書き換え管理者権限を取得できる脆弱性（CVE-2026-85681）

  • 対象製品WP Component（プラグイン）
  • CVECVE-2026-85681
  • 脆弱性種別未認証の任意WordPressオプション更新 / 権限昇格 / 管理者アカウント作成
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  MemberPress Corporate AccountsにSubscriberから管理者作成・乗っ取り可能な権限昇格脆弱性（CVE-2026-15451）

  • 対象製品MemberPress Corporate Accounts（プラグイン）
  • CVECVE-2026-15451
  • 脆弱性種別Subscriber+ 権限昇格 / 管理者アカウント作成 / 管理者アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  zipMoney(Zip Co) Payments Plugin for WooCommerceに未認証で任意WordPress設定を削除できるCritical脆弱性（CVE-2026-78361）

  • 対象製品zipMoney(Zip Co) Payments Plugin for WooCommerce（プラグイン）
  • CVECVE-2026-78361
  • 脆弱性種別未認証の任意WordPressオプション削除 / Missing Authorization / 設定破壊・サービス停止
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Developer Toolsに未認証の任意ファイルアップロードからRCEにつながるCritical脆弱性（CVE-2025-9314）

  • 対象製品Developer Tools（プラグイン）
  • CVECVE-2025-9314
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical 実攻撃を確認
  Divi Ajax Filterの未認証LFI脆弱性で実攻撃確認（CVE-2026-11613）

  • 対象製品Divi Ajax Filter（プラグイン）
  • CVECVE-2026-11613
  • 脆弱性種別未認証Local File Inclusion（PHPファイル実行）
  • 実攻撃実攻撃を確認
• 2026年9月14日 High 実攻撃を確認
  YITH WooCommerce Waitlist Premiumの権限昇格脆弱性で実攻撃確認（CVE-2026-14359）

  • 対象製品YITH WooCommerce Waitlist Premium（プラグイン）
  • CVECVE-2026-14359
  • 脆弱性種別Subscriber+ 権限昇格 / 管理者アカウント作成
  • 実攻撃実攻撃を確認
• 2026年9月14日 High 実攻撃を確認
  Newfold系Bluehost・HostGatorプラグインの認証回避脆弱性で実攻撃確認（CVE-2026-80099）

  • 対象製品Newfold系プラグイン（Bluehost / HostGator / Web.com / Crazy Domains / WP Module Data）（プラグイン）
  • CVECVE-2026-80099
  • 脆弱性種別未認証の認証回避 / 管理者権限取得
  • 実攻撃実攻撃を確認
• 2026年9月14日 High
  GEO my WPに未認証LFIからRCEへ発展可能な重大脆弱性（CVE-2026-85200）

  • 対象製品GEO my WP（プラグイン）
  • CVECVE-2026-85200
  • 脆弱性種別未認証Local File Inclusion / PHPファイル実行 / 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Tutor LMSにSubscriberからRCEへ到達可能なPHP Object Injection脆弱性（CVE-2026-78175）

  • 対象製品Tutor LMS – eLearning and online course solution（プラグイン）
  • CVECVE-2026-78175
  • 脆弱性種別Subscriber+ PHP Object Injection / Remote Code Execution
  • 実攻撃実攻撃は未確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。