WordPress脆弱性情報

• 2026年9月9日 High
  Newfold系WordPressプラグインに未認証の認証回避・管理者権限取得（CVE-2026-80099）

  • 対象製品Newfold系プラグイン（Bluehost / HostGator / Web.com / Crazy Domains / WP Module Data）（プラグイン）
  • CVECVE-2026-80099
  • 脆弱性種別未認証の認証回避 / 管理者権限取得
  • 実攻撃実攻撃は未確認
• 2026年9月9日 High
  FireBoxにAuthor権限からRCE・権限昇格可能な重大脆弱性（CVE-2026-76801）

  • 対象製品FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment（プラグイン）
  • CVECVE-2026-76801
  • 脆弱性種別認証済みAuthor+ Remote Code Execution／権限昇格
  • 実攻撃実攻撃は未確認
• 2026年9月8日 High
  Event Ticketsに未認証でStripe認証情報を書き換え可能な脆弱性（CVE-2026-3174）

  • 対象製品Event Tickets and Registration（プラグイン）
  • CVECVE-2026-3174
  • 脆弱性種別Broken Access Control / 未認証Stripe認証情報書き換え
  • 実攻撃実攻撃は未確認
• 2026年9月8日 Critical
  SigmaForms Proに未認証の任意ファイル削除脆弱性、RCEにつながる可能性（CVE-2026-78657）

  • 対象製品SigmaForms Pro – AI Generated Forms（プラグイン）
  • CVECVE-2026-78657
  • 脆弱性種別未認証の任意ファイル削除 / Path Traversal（RCE連鎖の可能性）
  • 実攻撃実攻撃は未確認
• 2026年9月8日 High
  WP Fusion ProにSubscriber権限から管理者作成可能な権限昇格脆弱性（CVE-2026-14444）

  • 対象製品WP Fusion (Pro)（プラグイン）
  • CVECVE-2026-14444
  • 脆弱性種別Subscriber+ 権限昇格 → 管理者アカウント作成・サイト乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月8日 High
  HivePress Authenticationに未認証の認証回避脆弱性（CVE-2026-18056）

  • 対象製品HivePress Authentication（プラグイン）
  • CVECVE-2026-18056
  • 脆弱性種別未認証の認証回避 → アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月8日 Critical 実攻撃を確認
  Super FormsのCritical任意ファイルアップロード脆弱性で大規模実攻撃確認（CVE-2026-14894）

  • 対象製品Super Forms – Drag & Drop Form Builder（プラグイン）
  • CVECVE-2026-14894
  • 脆弱性種別未認証の任意ファイルアップロード → RCE / サイト乗っ取り
  • 実攻撃実攻撃を確認
• 2026年9月8日 Critical 実攻撃を確認
  Elementor ProのCritical任意ファイルアップロード脆弱性で実攻撃確認（CVE-2026-32475）

  • 対象製品Elementor Pro（プラグイン）
  • CVECVE-2026-32475
  • 脆弱性種別未認証の任意ファイルアップロード → RCE / サイト乗っ取り
  • 実攻撃実攻撃を確認
• 2026年9月7日 High
  WCFM MembershipにSubscriber権限からの権限昇格脆弱性（CVE-2026-84756）

  • 対象製品WCFM Membership – WooCommerce Memberships for Multivendor Marketplace（プラグイン）
  • CVECVE-2026-84756
  • 脆弱性種別Subscriber+ 権限昇格／不適切な権限割り当て
  • 実攻撃実攻撃は未確認
• 2026年9月7日 High
  Shared Files Proに未認証の任意ファイル読み取り脆弱性（CVE-2026-19084）

  • 対象製品Shared Files Pro（プラグイン）
  • CVECVE-2026-19084
  • 脆弱性種別未認証の任意ファイル読み取り／Path Traversal
  • 実攻撃実攻撃は未確認
• 2026年9月7日 High
  RegistrationMagicに未認証の認証回避脆弱性（CVE-2026-82225）

  • 対象製品RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login（プラグイン）
  • CVECVE-2026-82225
  • 脆弱性種別未認証の認証回避／Broken Authentication
  • 実攻撃実攻撃は未確認
• 2026年9月7日 High
  Really Simple Securityに未認証の2FA回避脆弱性（CVE-2026-84777）

  • 対象製品Really Simple Security (formerly Really Simple SSL)（プラグイン）
  • CVECVE-2026-84777
  • 脆弱性種別未認証の認証回避／2FA Bypass
  • 実攻撃実攻撃は未確認
• 2026年9月7日 Critical
  WatchMan-Site7にSubscriber権限から任意PHP実行可能なCritical RCE（CVE-2026-77009）

  • 対象製品WatchMan-Site7（プラグイン）
  • CVECVE-2026-77009
  • 脆弱性種別Subscriber+ RCE／デバッグコンソールの認可不備
  • 実攻撃実攻撃は未確認
• 2026年9月7日 Critical
  Tickeraに未認証PHP Object InjectionのCritical脆弱性（CVE-2026-82226）

  • 対象製品Tickera – Sell Tickets & Manage Events（プラグイン）
  • CVECVE-2026-82226
  • 脆弱性種別未認証PHP Object Injection／安全でないデシリアライズ（RCEにつながる可能性）
  • 実攻撃実攻撃は未確認
• 2026年9月7日 Critical 実攻撃を確認
  TranslatePressの管理者アカウント乗っ取り脆弱性で実攻撃確認（CVE-2026-19632）

  • 対象製品TranslatePress – Multilingual（プラグイン）
  • CVECVE-2026-19632
  • 脆弱性種別未認証の管理者アカウント乗っ取り（実攻撃確認）
  • 実攻撃実攻撃を確認
• 2026年9月6日 Critical
  Nokri Job Boardテーマに未認証の管理者アカウント乗っ取り脆弱性（CVE-2026-18550）

  • 対象製品Nokri – Job Board WordPress Theme（テーマ）
  • CVECVE-2026-18550
  • 脆弱性種別未認証の権限昇格／アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月6日 Critical
  Bricksforgeに認証不要の権限昇格脆弱性（CVE-2026-84814）

  • 対象製品Bricksforge（プラグイン）
  • CVECVE-2026-84814
  • 脆弱性種別権限昇格（Privilege Escalation）
  • 実攻撃実攻撃は未確認
• 2026年9月6日 Critical
  ACPT (Premium)に未認証の管理者アカウント乗っ取りにつながる権限昇格脆弱性（CVE-2026-15354）

  • 対象製品ACPT (Premium)（プラグイン）
  • CVECVE-2026-15354
  • 脆弱性種別未認証の権限昇格／アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月5日 Critical
  AI Website Builder（GitHub版）に未認証RCEにつながる認可不備（CVE-2026-82923）

  • 対象製品AI Website Builder (GitHub build)（プラグイン）
  • CVECVE-2026-82923
  • 脆弱性種別認証・認可不備／任意ファイル書き込み／Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月5日 Critical
  Sigma Forms Proに未認証の任意ファイルアップロードからRCE脆弱性（CVE-2026-14494）

  • 対象製品Sigma Forms Pro – AI Generated Forms（プラグイン）
  • CVECVE-2026-14494
  • 脆弱性種別未認証の任意ファイルアップロード／Remote Code Execution
  • 実攻撃実攻撃は未確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。