WordPress脆弱性情報

• 2026年9月4日 Critical
  Divi Ajax Filterに未認証LFIからコード実行につながる脆弱性（CVE-2026-11613）

  • 対象製品Divi Ajax Filter（プラグイン）
  • CVECVE-2026-11613
  • 脆弱性種別未認証Local File Inclusion（PHPファイル実行）
  • 実攻撃実攻撃は未確認
• 2026年9月4日 Critical
  LearnDash LMSにSubscriber権限からの任意ファイルアップロード脆弱性（CVE-2026-12483）

  • 対象製品LearnDash LMS（プラグイン）
  • CVECVE-2026-12483
  • 脆弱性種別認証済み（Subscriber+）の任意ファイルアップロード
  • 実攻撃実攻撃は未確認
• 2026年9月4日 Critical
  Authorizerに未認証の権限昇格脆弱性（CVE-2026-81294）

  • 対象製品Authorizer（プラグイン）
  • CVECVE-2026-81294
  • 脆弱性種別未認証の権限昇格
  • 実攻撃実攻撃は未確認
• 2026年9月4日 Critical 実攻撃を確認
  Super Formsに未認証の任意ファイルアップロード脆弱性、実悪用を確認（CVE-2026-14894）

  • 対象製品Super Forms – Drag & Drop Form Builder（プラグイン）
  • CVECVE-2026-14894
  • 脆弱性種別未認証の任意ファイルアップロード → Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月4日 Critical
  WP Compressに未認証RCE脆弱性（CVE-2026-73343）

  • 対象製品WP Compress – Image Optimizer & WebP/AVIF Conversion（プラグイン）
  • CVECVE-2026-73343
  • 脆弱性種別未認証Remote Code Execution
  • 実攻撃不明
• 2026年9月3日 Critical
  WCFM Marketplaceに未認証SQL Injection脆弱性（CVE-2026-81286）

  • 対象製品WCFM Marketplace – Multivendor Marketplace for WooCommerce（プラグイン）
  • CVECVE-2026-81286
  • 脆弱性種別未認証SQL Injection
  • 実攻撃実攻撃は未確認
• 2026年9月2日 High
  Advanced Custom Fields: Extendedに未認証の管理者権限昇格（CVE-2026-80467）

  • 対象製品Advanced Custom Fields: Extended（プラグイン）
  • CVECVE-2026-80467
  • 脆弱性種別未認証Privilege Escalation → Administrator
  • 実攻撃実攻撃は未確認
• 2026年9月2日 Critical 実攻撃を確認
  Amelia Premiumに未認証の管理者権限昇格、実悪用を確認（CVE-2026-9055）

  • 対象製品Booking for Appointments and Events Calendar – Amelia (Premium)（プラグイン）
  • CVECVE-2026-9055
  • 脆弱性種別未認証Privilege Escalation → Administrator Account Takeover
  • 実攻撃実攻撃を確認
• 2026年9月2日 High 実攻撃を確認
  UpdraftPlusに未認証の認証回避からRCEへ至る脆弱性、実悪用報告あり（CVE-2026-10795）

  • 対象製品UpdraftPlus: WP Backup & Migration Plugin（プラグイン）
  • CVECVE-2026-10795
  • 脆弱性種別未認証Authentication Bypass → 任意RPCコマンド → プラグインアップロード・有効化 → RCE
  • 実攻撃実攻撃を確認
• 2026年9月2日 Critical
  Broken Link Checkerに未認証RCE脆弱性（CVE-2026-18937）

  • 対象製品Broken Link Checker（プラグイン）
  • CVECVE-2026-18937
  • 脆弱性種別未認証のQuery Variable InjectionからRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月2日 Critical
  W3 Total Cacheに未認証の任意ディレクトリファイル書き込み脆弱性（CVE-2026-18051）

  • 対象製品W3 Total Cache（プラグイン）
  • CVECVE-2026-18051
  • 脆弱性種別未認証Path Traversalによる任意ディレクトリファイル書き込み / .htaccess上書き
  • 実攻撃実攻撃は未確認
• 2026年9月2日 High
  Gravity Formsに未認証の任意ファイルアップロード脆弱性、条件次第でRCE（CVE-2026-19513）

  • 対象製品Gravity Forms（プラグイン）
  • CVECVE-2026-19513
  • 脆弱性種別未認証の任意ファイルアップロードから条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月1日 High
  ManageWP Workerに管理者乗っ取りにつながる認証回避（CVE-2026-18052）

  • 対象製品ManageWP Worker（プラグイン）
  • CVECVE-2026-18052
  • 脆弱性種別未認証Authentication Bypass
  • 実攻撃実攻撃は未確認
• 2026年9月1日 High
  All-in-One WP MigrationにSQL InjectionからRCEへ至る脆弱性（CVE-2026-19949）

  • 対象製品All-in-One WP Migration and Backup（プラグイン）
  • CVECVE-2026-19949
  • 脆弱性種別Second-Order SQL Injection → 条件付きRCE
  • 実攻撃実攻撃は未確認
• 2026年9月1日 High
  Rank Math SEOにAuthor権限からRCE（CVE-2026-81757）

  • 対象製品Rank Math SEO（プラグイン）
  • CVECVE-2026-81757
  • 脆弱性種別Author権限以上からRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月1日 High 実攻撃を確認
  Tutor LMSに未認証RCE、実悪用を確認（CVE-2026-16759）

  • 対象製品Tutor LMS（プラグイン）
  • CVECVE-2026-16759
  • 脆弱性種別未認証Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月1日 Critical 実攻撃を確認
  GiveWPに未認証RCE（CVE-2026-82222）

  • 対象製品GiveWP – Donation Plugin and Fundraising Platform（プラグイン）
  • CVECVE-2026-82222
  • 脆弱性種別未認証PHP Object Injection → RCE
  • 実攻撃実攻撃を確認
• 2026年9月1日 Critical
  Avada + Fusion Builderに未認証RCE（CVE-2026-18431）

  • 対象製品Avada / Fusion Builder（テーマ）
  • CVECVE-2026-18431
  • 脆弱性種別未認証の任意ファイル書き込み → RCE
  • 実攻撃実攻撃は未確認
• 2026年9月1日 Critical 実攻撃を確認
  WPMU DEV Dashboardに未認証の管理者ログイン脆弱性（CVE-2026-76581）

  • 対象製品WPMU DEV Dashboard（プラグイン）
  • CVECVE-2026-76581
  • 脆弱性種別未認証Authentication Bypass → Administrator
  • 実攻撃実攻撃を確認
• 2026年9月1日 Critical 実攻撃を確認
  Podsに未認証のAdministrator権限昇格（CVE-2026-19598）

  • 対象製品Pods – Custom Content Types and Fields（プラグイン）
  • CVECVE-2026-19598
  • 脆弱性種別未認証の権限昇格 / Authorization Bypass
  • 実攻撃実攻撃を確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。