WordPress脆弱性情報

• 2026年9月14日 High
  BlogVault・MalCare・WP Remoteに未認証のサイト乗っ取りにつながる認証回避（CVE-2026-19718）

  • 対象製品BlogVault / MalCare / WP Remote（プラグイン）
  • CVECVE-2026-19718
  • 脆弱性種別未認証Authentication Bypass / Site Takeover
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  WordPress Coreの未認証XSSから条件付きRCEへ至る脆弱性（CVE-2026-64638）

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-64638
  • 脆弱性種別未認証の反射型XSS → 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  WordPress CoreにAuthor権限からRCEへ至るファイルアップロード脆弱性（CVE-2026-65640）

  • 対象製品WordPress Core（WordPress本体）
  • CVECVE-2026-65640
  • 脆弱性種別Author権限以上の悪意あるファイルアップロード経由Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Throws SPAM Awayに未認証SQL Injection脆弱性（CVE-2026-81763）

  • 対象製品Throws SPAM Away（プラグイン）
  • CVECVE-2026-81763
  • 脆弱性種別未認証SQL Injection
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Tutor LMSに未認証の任意PHP関数呼び出し脆弱性（CVE-2026-19092）

  • 対象製品Tutor LMS（プラグイン）
  • CVECVE-2026-19092
  • 脆弱性種別未認証の任意ゼロ引数PHP関数呼び出し / テンプレート変数シャドーイング
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical 実攻撃を確認
  Custom User Registration Fields for WooCommerceに未認証の管理者権限昇格（CVE-2026-15369）

  • 対象製品Custom User Registration Fields for WooCommerce（プラグイン）
  • CVECVE-2026-15369
  • 脆弱性種別未認証の権限昇格 / Administratorアカウント作成
  • 実攻撃実攻撃を確認
• 2026年9月14日 Critical
  WP Data Accessに未認証SQL Injection脆弱性（CVE-2026-81293）

  • 対象製品WP Data Access（プラグイン）
  • CVECVE-2026-81293
  • 脆弱性種別未認証SQL Injection
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Events Managerに未認証の管理者権限昇格脆弱性（CVE-2026-18366）

  • 対象製品Events Manager（プラグイン）
  • CVECVE-2026-18366
  • 脆弱性種別未認証の権限昇格 / Administratorアカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  WPLP Cookie Consentに未認証の任意ファイルアップロード脆弱性（CVE-2026-82970）

  • 対象製品WPLP Cookie Consent（プラグイン）
  • CVECVE-2026-82970
  • 脆弱性種別未認証の任意ファイルアップロード
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  ProfilePressに未認証RCE、任意プラグインをインストール可能（CVE-2026-66047）

  • 対象製品ProfilePress（プラグイン）
  • CVECVE-2026-66047
  • 脆弱性種別未認証Remote Code Execution / 任意プラグインインストール
  • 実攻撃実攻撃は未確認
• 2026年9月11日 Critical
  MemberHeroに未認証で管理者権限を取得できるCritical脆弱性、完全修正版なし（CVE-2026-10522）

  • 対象製品MemberHero – Simple User Registration & Login（プラグイン）
  • CVECVE-2026-10522
  • 脆弱性種別未認証の権限昇格 / 管理者アカウント作成 / Account Takeover
  • 実攻撃実攻撃は未確認
• 2026年9月11日 Critical
  Hash Formに未認証PHP Object Injection・RCEにつながるCritical脆弱性（CVE-2026-78292）

  • 対象製品Hash Form – Drag & Drop Form Builder（プラグイン）
  • CVECVE-2026-78292
  • 脆弱性種別未認証PHP Object Injection / Deserialization of Untrusted Data / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月11日 Critical
  Hash Formに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-81780）

  • 対象製品Hash Form – Drag & Drop Form Builder（プラグイン）
  • CVECVE-2026-81780
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月11日 Critical
  Masteriyo LMSに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-73996）

  • 対象製品Masteriyo LMS – LMS Course Builder, Quizzes & Certificates（プラグイン）
  • CVECVE-2026-73996
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月11日 Critical
  WP ERPに未認証の任意ファイルアップロードからRCEにつながるCritical脆弱性（CVE-2026-18080）

  • 対象製品ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce（プラグイン）
  • CVECVE-2026-18080
  • 脆弱性種別未認証の任意ファイルアップロード / Path Traversal / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月10日 Critical
  Drag and Drop File Upload for Elementor Formsに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-18351）

  • 対象製品Drag and Drop File Upload for Elementor Forms（プラグイン）
  • CVECVE-2026-18351
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月10日 High
  EventinにContributor権限からPHPコード実行につながるLocal File Inclusion脆弱性（CVE-2026-15667 / CVE-2026-15406）

  • 対象製品Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce（プラグイン）
  • CVECVE-2026-15667 / CVE-2026-15406
  • 脆弱性種別認証済みContributor+ Local File Inclusion / PHPコード実行
  • 実攻撃実攻撃は未確認
• 2026年9月10日 High
  Next-Cart Store to WooCommerce Migrationに未認証の認証回避、管理者作成・任意ファイル削除でサイト乗っ取り（CVE-2026-76009）

  • 対象製品Next-Cart Store to WooCommerce Migration（プラグイン）
  • CVECVE-2026-76009
  • 脆弱性種別未認証の認証回避 / 任意SQL実行 / 管理者アカウント作成 / 任意ファイル削除
  • 実攻撃実攻撃は未確認
• 2026年9月9日 High
  Advanced Custom Fields: Extendedに未認証の管理者アカウント乗っ取り脆弱性（CVE-2026-12526）

  • 対象製品Advanced Custom Fields: Extended（プラグイン）
  • CVECVE-2026-12526
  • 脆弱性種別未認証の認証回避 / 管理者アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月9日 High
  YITH WooCommerce Waitlist PremiumにSubscriberから管理者へ昇格可能な脆弱性（CVE-2026-14359）

  • 対象製品YITH WooCommerce Waitlist Premium（プラグイン）
  • CVECVE-2026-14359
  • 脆弱性種別Subscriber+ 権限昇格 / 管理者アカウント作成
  • 実攻撃実攻撃は未確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。