基礎知識 2026.11.04 2026.11.06
【2026年10月】WordPress脆弱性情報＆注目ニュース まとめ｜PHPに重大な脆弱性「PHP2Shell」：WordPressサイトも今すぐPHPの更新を
この記事を書いた人
土井 純也
WordPressスペシャリスト・エンジニア/株式会社デジタルアイデンティティ Tech Div.マネージャー
WordPress専門サービス「wp.make」を立ち上げ、事業責任者として200社以上の大手・上場企業のWordPressサイトの制作、保守・セキュリティをサポート。2022年にエンジニアを統括するTechnology Div.を創設。
【 展開しているサービス一覧 】
■WordPress開発サービス「wp.make」
■WordPress保守/運用サービス「wp.support」
■WordPressハッキング/緊急復旧対応サービス「wp.rescue」
■WordPressバージョンアップ代行サービス「wp.versionup」
PHPに重大な脆弱性「PHP2Shell」：WordPressサイトも早急にPHPの更新を
10月21日、PHPの開発チームは、認証なしでリモートコード実行（RCE）が可能になる重大な脆弱性2件を修正したセキュリティリリースを公開しました。
「PHP2Shell」と呼ばれるこの問題は、WordPressに限らず、PHPで動くWebサイト全般に影響します。
参照元：Security advisory: Critical remote code execution vulnerabilities, update now｜PHP
PHP2Shellとは：2件の脆弱性と影響範囲
公表された脆弱性の概要は次のとおりです。
- 脆弱性：CVE-2026-109618（メモリ不足時の処理に起因する問題）と、CVE-2026-109619（前のリクエストの内部データが残る問題）の2件
- 深刻度：いずれもCVSS v4.0で9.2（緊急）
- 認証の要否：不要
- 影響範囲：Webリクエストを処理する未対策のPHP環境（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）。PHPの開発チームは、mod_phpの危険度が最も高いとしている
- 修正版：PHP 8.5.12、8.4.27、8.3.36、8.2.35
10月26日には、米CISAが2件とも「実際の悪用が確認された脆弱性」の一覧に追加しました。
PHP 8.1以前はサポートが終了しており、通常の修正版は提供されません。例外的に旧バージョン向けの最小限の修正パッチは公開されていますが、サポートが再開されたわけではありません。
認証なしで攻撃でき、すでに悪用も確認されているため、優先して対応する必要があります。PHPの開発チームは設定変更による暫定対策も示していますが、完全な対策には更新が必要だと明言しています。暫定対策を取る場合も、修正版への更新を進めてください。
WordPressサイトで必要な対応
WordPress.orgも10月21日に告知（Critical PHP Security Release）を公開し、この問題に対応するためのWordPress本体の更新は不要で、予定もないとしています。
必要なのは、サーバー側で動くPHPの更新です。
まずPHPのバージョンを確認し、利用しているサーバーに応じて対応してください。
- バージョンの確認：管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、使用中のPHPのバージョンを確認する
- レンタルサーバーを利用している場合：サーバー会社のお知らせを確認し、PHPが修正版に更新済みか、利用者側での切り替えが必要かを確かめる
- 自社でサーバーを管理している場合：PHPを修正版に更新する。英国の国家サイバーセキュリティセンター（NCSC）は、更新ができず、暫定対策も適用できない、または適用に時間がかかる場合には、対策が済むまでシステムの停止も検討するよう呼びかけている
- PHP 8.1以前を使っている場合：サポート中のバージョンへの移行を急ぐ
なお、PHP 8.2のサポートは2026年12月31日で終了します。
レンタルサーバーでは、事業者がPHPを更新する場合と、利用者が管理画面でバージョンを切り替える必要がある場合があります。「サーバー会社が対応しているはず」と考えず、お知らせとサイトヘルスの両方を確認してください。表示されるバージョンだけで対策済みか判断できない場合は、サーバー会社に確認しましょう。
PHP 8.1以前や8.2を使っているサイトは、年末の8.2のサポート終了も見据えて、8.3以上への移行を計画してください。移行前には、検証環境でテーマやプラグインの動作を確認しておきましょう。
以下の記事で、さらに詳しく解説していますので、こちらもご参考ください。
2026年10月のPHP脆弱性でWordPressに何が起きる？仕組みと懸念点を解説
「Rank Math SEO PRO」の正規アップデートにマルウェアが混入：該当サイトは侵害された前提で対処を
10月、SEOプラグイン「Rank Math SEO」の有料版「Rank Math SEO PRO」で、配布されたバージョン3.0.123の一部にマルウェアが混入していたことが公表されました。
開発元から正規のアップデートとして配布されたファイルが改ざんされていた、いわゆるサプライチェーン攻撃です。
参照元：Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website｜Rank Math
影響を受けるサイトと確認方法
開発元が公表した影響範囲と、修正版の情報は次のとおりです。
- 対象：日本時間の10月16日5時02分〜16時12分（協定世界時の10月15日20時02分〜16日7時12分）にダウンロード・更新したRank Math SEO PRO 3.0.123
- 対象外：WordPress.orgで配布されている無料版のRank Math SEO
- 修正版：マルウェアを含まない3.0.124
- 深刻度：CVE-2026-111862として、CVSS v3.1で9.8（緊急）と評価されている
管理画面の「プラグイン」でバージョンを確認し、該当期間にインストール・更新したか、有効化したかを調べてください。対応は、その状況によって異なります。
- 該当期間に入手した3.0.123をインストールし、有効化した：サイトが侵害されたものとして扱い、復旧手順に進む
- インストールしたが有効化していない：プラグインのファイルを削除して3.0.124を入れ直し、念のためセキュリティスキャンを行う
- ダウンロードしただけでインストールしていない：この件だけでは、サイトが侵害されたことを示す兆候はないとされている
なお、開発元の対応に伴い、10月13日〜16日に登録された無料版利用者のRank Mathアカウントも削除されています。
該当する場合は、アカウントを作り直してサイトと再接続するまで、Search Consoleのデータ表示などの連携機能が使えません。
自動更新を有効にしているサイトでは、担当者が気づかないうちに、該当期間中の3.0.123が適用されている可能性があります。すでに別のバージョンへ更新している場合も、当時の更新履歴を確認してください。操作履歴を記録するプラグインやサーバーのログがあれば、更新日時を調べる手がかりになります。判断できない場合は開発元のサポートに相談し、影響を受けていないと確認できるまでは、侵害の可能性を前提に対応しましょう。
該当した場合の復旧手順
開発元は、問題のあるバージョンが配布される前に取得したバックアップからの復元を推奨しています。
- バックアップからの復元：日本時間の10月16日5時02分より前に取得したバックアップで、ファイルとデータベースを復元する
- セキュリティスキャン：WordfenceやSucuriなどのツールで、不正なファイルが残っていないかを確認する
- パスワードと認証情報の変更：WordPressのアカウント、データベースの認証情報、wp-config.phpのセキュリティキー、決済やメール送信などのAPIキー、サーバーのFTP・SSHの認証情報など、漏えいした可能性のある情報をすべて変更する
- 修正版の導入：rankmath.comに直接アクセスしてログインし、3.0.124をダウンロードして入れ直す
復元できるバックアップがない場合は、手作業でマルウェアを駆除する必要があります。
マルウェアはページが閲覧されるたびにバックドアを作り直すため、プラグインを停止するだけでは不十分です。再生成の仕組みを止めてから不正なファイルを削除するなど、開発元が示す順序に沿って作業してください。
身に覚えのない管理者アカウント（「wpsupport_」で始まるユーザー名など）や、正規のWordPressには含まれないファイル（wp-includes/class-wp-cache-util.php）は、感染を調べる手がかりになります。
また、開発元はログインやダウンロードのリンクをメールで送ることはないとしています。この件に便乗したメールにも注意してください。
バックアップから復元した場合も、パスワードや認証情報の変更は必須とされています。サイト内に保存され、攻撃者に読み取られた可能性のある認証情報は、外部サービスのAPIキーも含めて変更してください。手作業での駆除にはWordPressやサーバーの知識が必要なため、自社での対応が難しい場合は、サーバー会社や専門家に依頼しましょう。
WordPress 7.2のベータ版が公開：12月8日の正式リリースに向けた主な変更点
12月8日に正式リリースを予定しているWordPress 7.2は、10月20日にベータ1、27日にベータ2、28日にベータ3が公開されました。
開発スケジュールでは、11月17日にリリース候補版（RC1）が公開される予定です。
なお、10月には現行版のセキュリティリリースとして、WordPress 7.1.3と7.1.4も公開されています。7.1.4で修正された更新処理の脆弱性（CVE-2026-119977）は、すでに攻撃への悪用が確認されています。未対応の場合は、7.2を待たずに7.1.4以降へ更新してください。
サイト運用者に関係する主な変更点
ベータ1の告知で紹介されている変更のうち、サイト運用者に関係が深いものを紹介します。
- レスポンシブ設定の拡張：ギャラリーの列数や画像の切り抜き・縦横比など、より多くのブロックや設定で、画面幅に応じたスタイルを指定できるようになる
- 文字の影：ブロックの設定から文字に影を付けられるようになる。テーマ側（theme.json）でプリセットを定義することもできる
- メモ機能の改善：絵文字でのリアクションに対応し、メモとブロックの設定を同時に開いたまま編集できるようになる
- 画像アップロードの効率化：メディアライブラリでも、アップロード前にブラウザ側で画像の縮小・圧縮・形式変換を行えるようになる
- 管理画面の高速化：スクリプトやスタイルの読み込み方法が見直され、次に開くと予測される画面のリソースを先読みする仕組みが加わる
このほか、過去の同じ日付に公開した投稿を表示するダッシュボードウィジェット「On This Day」の追加や、ナビゲーション（メニュー）をサイトエディターのサイドバーから直接編集できるようになる改善も含まれます。
公式は、ベータ版を本番サイトで使用しないよう呼びかけています。新機能やテーマ・プラグインの動作は、検証環境で確認してください。特に、画像最適化プラグインを使っているサイトや、サーバー側の画像処理をカスタマイズしているサイトでは、アップロード後の画質やファイル形式への影響を確認しておきましょう。
【開発者向け】Secrets APIの追加とSQLモードの変更
開発者向けには、APIやデータベース接続に関する次の変更が予定されています。
- Secrets API：APIキーなどの認証情報を暗号化して保存するための標準APIが追加される（Trac #66187）
- Abilities APIの拡張：WordPressのデータを取得・検索する機能が加わり、外部ツールやAIとの連携に活用できる
- SQLモードの変更：WordPressからのデータベース接続では、SQLモード「NO_BACKSLASH_ESCAPES」が既定で無効になる（開発者向けの解説）。必要な場合は、db.phpドロップインでフィルターを使い、有効な状態を維持できる
SQLモードの変更について、公式は、ほとんどのサイトでは違いに気づかないと説明しています。
また、外部サービスのAPIキーなどを独自の方法でデータベースに保存するプラグインを開発・保守している場合は、Secrets APIの仕様を確認し、7.2の正式リリースに合わせて移行を検討するとよいでしょう。
WordPressの最新シェア情報
W3TechsによるWordPressのシェアは、2026年10月時点で次のとおりです。
| CMS内のWordPressシェア | 58.2% |
|---|---|
| 全Webサイト中のWordPressシェア | 39.5% |
参照元：Usage statistics and market shares of content management systems｜W3Techs
2026年10月のWordPress脆弱性情報
ここからは、2026年10月に公表されたWordPress本体（コア）・テーマ・プラグインの主な脆弱性を紹介します。
使用中のバージョンが影響を受ける場合は、修正版への更新、不要なテーマ・プラグインの削除、代替製品への切り替えなど、状況に応じた対策を速やかに行ってください。
具体的な対応方法は、それぞれの公式サイトや開発元の告知で確認しましょう。自社での対応が難しい場合は、WordPressのプロへの依頼もご検討ください。
掲載対象は、深刻度が「緊急」「高」でインストール数10万以上のもの、または深刻度を問わずインストール数50万以上のプラグイン・テーマの脆弱性です。WordPress本体については、CVE番号が付いた脆弱性をすべて掲載しています。
WordPress本体（コア）に関する脆弱性
| 対象 | 深刻度 | 脆弱性カテゴリ | 脆弱性詳細 | 影響を受けるバージョン | インストール数 | CVE | 備考 |
|---|---|---|---|---|---|---|---|
| WordPress | 高 | リモートコード実行（RCE） | 認証不要の攻撃者によるリモートコード実行（RCE）（本体の更新中に作られる推測可能な一時ファイル経由）。米CISAが悪用を確認済み（2026年11月3日） | ≤ 7.1.3 | – | CVE-2026-119977 | – |
プラグインに関する脆弱性
| プラグイン名 | 深刻度 | 脆弱性カテゴリ | 脆弱性詳細 | 影響を受けるバージョン | インストール数 | CVE | 備考 |
|---|---|---|---|---|---|---|---|
| Unlimited Elements for Elementor | 緊急 | SQLインジェクション | 認証不要の攻撃者によるSQLインジェクション | ≤ 2.0.20 | 300,000+ | CVE-2026-103355 | – |
| Popup Builder | 緊急 | 認可の不備 | 認証不要の攻撃者による認可のバイパスで、公開中のポップアップがすべてゴミ箱に移される | ≤ 4.4.5 | 200,000+ | CVE-2026-89270 | – |
| Appointment Booking Plugin | 緊急 | SQLインジェクション | 認証不要の攻撃者によるSQLインジェクション（'booking[service_id]' パラメータ経由） | ≤ 5.7.2 | 100,000+ | CVE-2026-96662 | – |
| LiteSpeed Cache | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（HTML圧縮処理の推測可能なプレースホルダー（md5(REQUEST_TIME)と2段階の str_replace）経由） | ≤ 7.9.1 | 7,000,000+ | CVE-2026-116763 | – |
| LiteSpeed Cache | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | LiteSpeed Cache < 7.9.2 | 7,000,000+ | CVE-2026-113500 | – |
| LiteSpeed Cache | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | ≤ 7.9 | 7,000,000+ | CVE-2026-114190 | – |
| WooCommerce | 高 | 権限昇格 | ショップマネージャー以上の権限を持つ認証済みユーザーによる権限昇格 | WooCommerce 9.8.0 – 11.1.2 | 7,000,000+ | CVE-2026-106608 | – |
| All in One SEO | 高 | 情報漏えい | 認証不要の攻撃者による検索パラメータ's'からの機密情報の開示 | ≤ 5.0.3 | 2,000,000+ | CVE-2026-109367 | – |
| All in One SEO | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行（検索パラメータ's'経由） | ≤ 5.0.2 | 2,000,000+ | CVE-2026-100152 | – |
| All in One SEO | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行 | ≤ 5.0.2.0 | 2,000,000+ | CVE-2026-19856 | – |
| Complianz GDPR/CCPA Cookie Consent Banner | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（yotu-wp の Cookie ブロック用フィルターを悪用したコメント本文経由） | ≤ 7.5.5 | 1,000,000+ | CVE-2026-97339 | – |
| Essential Addons for Elementor | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | Essential Addons for Elementor < 6.8.7 | 1,000,000+ | CVE-2026-110509 | – |
| W3 Total Cache | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 2.10.7 | 900,000+ | CVE-2026-114178 | – |
| W3 Total Cache | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（コメント本文経由） | ≤ 2.10.6 | 900,000+ | CVE-2026-87920 | – |
| W3 Total Cache | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（'comment' パラメータ経由。Pro版のライセンスが失効し、特定のキャッシュ設定が残っている場合） | ≤ 2.10.7 | 900,000+ | CVE-2026-111254 | – |
| MainWP Child | 高 | PHPオブジェクトインジェクション | 認証不要の攻撃者によるPHPオブジェクトインジェクション | ≤ 6.2.1 | 700,000+ | CVE-2026-105436 | – |
| Click to Chat | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行（プレースホルダー{url}経由のREQUEST_URI経由） | ≤ 4.44 | 600,000+ | CVE-2026-92097 | – |
| Database Addon for Contact Form 7 | 高 | 任意ファイルの削除 | 認証不要の攻撃者による限定的なファイルの削除（送信データに挿入した項目'attackcfdb7_file'経由） | ≤ 1.4.1 | 600,000+ | CVE-2026-107652 | – |
| Forminator Forms | 高 | 任意ファイルの削除 | 認証不要の攻撃者による限定的なファイルの削除（下書きのアップロードのメタデータ経由） | ≤ 1.55.0.2 | 600,000+ | CVE-2026-5461 | – |
| Forminator Forms | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行（クイズ通知の差し込みタグ経由の'User-Agent'ヘッダー・'referer_url'パラメータ経由） | ≤ 1.58.1 | 600,000+ | CVE-2026-101335 | – |
| Forminator Forms | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行（render_block 経由の検索パラメータ's'と匿名コメント経由） | ≤ 1.58.1 | 600,000+ | CVE-2026-103911 | – |
| Forminator Forms | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 1.57.3 | 600,000+ | CVE-2026-102388 | – |
| Forminator Forms | 高 | 権限昇格 | 認証不要の攻撃者による権限昇格 | ≤ 1.57.3 | 600,000+ | CVE-2026-96341 | – |
| Forminator Forms | 高 | 安全でない直接オブジェクト参照（IDOR） | 認証不要の攻撃者による安全でない直接オブジェクト参照（IDOR）による他ユーザーの下書きの削除・乗っ取り（'previous_draft_id' パラメータ経由） | ≤ 1.57.3.1 | 600,000+ | CVE-2026-97638 | – |
| Ninja Forms | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（段落テキスト（リッチテキスト）項目の送信内容経由） | ≤ 3.15.4 | 600,000+ | CVE-2026-90438 | – |
| Royal Addons for Elementor | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | Royal Addons for Elementor 1.3.81 – 1.7.1069 | 600,000+ | CVE-2026-107100 | – |
| Royal Addons for Elementor | 高 | 安全でない直接オブジェクト参照（IDOR） | 認証不要の攻撃者による安全でない直接オブジェクト参照（IDOR） | ≤ 1.7.1069 | 600,000+ | CVE-2026-97255 | – |
| Royal Addons for Elementor | 高 | メールの不正な中継 | 認証不要の攻撃者によるメールの不正な中継 | Royal Addons for Elementor < 1.7.1070 | 600,000+ | CVE-2026-106648 | – |
| The Events Calendar | 高 | PHPオブジェクトインジェクション | 認証不要の攻撃者によるPHPオブジェクトインジェクション | ≤ 6.17.4 | 600,000+ | CVE-2026-95606 | – |
| Broken Link Checker | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行（parser_callback経由） | ≤ 2.4.14.1 | 500,000+ | CVE-2026-96562 | – |
| GoSMTP | 高 | 権限昇格 | カスタム権限を持つ認証済みユーザーによる権限昇格 | GoSMTP < 1.2.5 | 500,000+ | CVE-2026-111577 | – |
| Kirki | 高 | 安全でない直接オブジェクト参照（IDOR） | 認証不要の攻撃者による安全でない直接オブジェクト参照（IDOR）による機密情報の露出（'context' パラメータによるコンテキストの不正な持ち込み経由） | ≤ 6.3.2 | 500,000+ | CVE-2026-107762 | – |
| Kirki | 高 | 任意のショートコード実行 | 購読者以上の権限を持つ認証済みユーザーによる任意のショートコード実行（'display_name'経由） | ≤ 6.3.1 | 500,000+ | CVE-2026-102291 | – |
| Kirki | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行 | ≤ 6.3.1 | 500,000+ | CVE-2026-84220 | – |
| Kirki | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（登録時のメタデータ経由） | ≤ 6.3.1 | 500,000+ | CVE-2026-102173 | – |
| Ninja Forms | 高 | クロスサイトスクリプティング（XSS） | 反射型のDOMベースのクロスサイトスクリプティング（XSS）（URLパラメータ'querystring:<key>'経由） | ≤ 3.15.5 | 500,000+ | CVE-2026-100151 | – |
| Ninja Forms | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 3.15.5 | 500,000+ | CVE-2026-110899 | – |
| Ninja Forms | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（'formData.extra' パラメータ経由） | ≤ 3.15.5 | 500,000+ | CVE-2026-109997 | – |
| Ninja Forms | 高 | 入力値検証の不備 | 認証不要の攻撃者によるサーバー側の入力値検証のバイパスとCSVインジェクション（リスト形式の項目経由） | ≤ 3.15.3 | 500,000+ | CVE-2026-67187 | – |
| Ocean Extra | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行（'oceanwp_library' ショートコードのテンプレート経由） | ≤ 2.6.0 | 500,000+ | CVE-2026-86803 | – |
| BackWPup | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | BackWPup < 5.7.7 | 400,000+ | CVE-2026-86826 | – |
| Kirki | 高 | 認可の不備 | Kirkiの編集権限を持つ認証済みユーザー（既定では編集者）による、他人の投稿のタイトル・スラッグ・公開状態の改変（ページ用REST API経由） | ≤ 6.4.0 | 400,000+ | CVE-2026-112347 | – |
| TranslatePress | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（trp-gettext/TRPLINKPROCESSED マーカーを含むコメント内リンクのhref経由） | ≤ 3.3.7 | 400,000+ | CVE-2026-107768 | – |
| TranslatePress | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 3.3.6 | 400,000+ | CVE-2026-103062 | – |
| Ad Inserter | 高 | 情報漏えい | 購読者以上の権限を持つ認証済みユーザーによるURLパラメータ'ai-debug-processing-fe'・'ai-debug-meta'からの機密情報の開示 | ≤ 2.8.18 | 300,000+ | CVE-2026-89097 | – |
| Blocksy Companion | 高 | 権限昇格 | 認証不要の攻撃者による'role' パラメータを悪用した権限昇格 | ≤ 2.1.58 | 300,000+ | CVE-2026-107645 | – |
| Cart Abandonment Recovery for WooCommerce | 高 | 安全でない直接オブジェクト参照（IDOR） | 認証不要の攻撃者による安全でない直接オブジェクト参照（IDOR） | Cart Abandonment Recovery for WooCommerce < 2.1.4 | 300,000+ | CVE-2026-96900 | – |
| CMB2 | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（フロントエンドのフォームからのグループ化されたWYSIWYG項目経由） | ≤ 2.13.4 | 300,000+ | CVE-2026-116761 | – |
| CMB2 | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（項目タイプ'file_list'経由） | ≤ 2.13.0 | 300,000+ | CVE-2026-97336 | – |
| CMB2 | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（'textarea_code' 項目経由） | ≤ 2.13.1 | 300,000+ | CVE-2026-102772 | – |
| Formidable Forms | 高 | 任意のプラグインのインストール | 購読者以上の権限を持つ認証済みユーザーによる任意のプラグインのインストール（'file_url' パラメータ経由） | ≤ 6.35 | 300,000+ | CVE-2026-89435 | – |
| Formidable Forms | 高 | サービス拒否（DoS） | 認証不要の攻撃者によるサービス拒否（DoS） | Formidable Forms < 7.0 | 300,000+ | CVE-2026-85642 | – |
| Jeg Kit for Elementor | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（コメント経由） | ≤ 3.2.19 | 300,000+ | CVE-2026-100180 | – |
| NextGEN Gallery | 高 | リモートコード実行（RCE） | カスタム権限を持つ認証済みユーザーによるリモートコード実行（RCE）（legacy_render 関数経由） | ≤ 4.4.1 | 300,000+ | CVE-2026-76012 | – |
| OMGF | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（comments-atom フィードの検索パラメータ's'経由） | ≤ 6.3.10 | 300,000+ | CVE-2026-89417 | – |
| Otter Blocks | 高 | 情報漏えい | 購読者以上の権限を持つ認証済みユーザーによるフォーム送信データのダッシュボードウィジェットからの機密情報の露出 | ≤ 3.2.6 | 300,000+ | CVE-2026-102002 | – |
| PDF Invoices & Packing Slips for WooCommerce | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（請求先の氏名・会社名・注文メモ経由。CVE-2026-92244 の修正が不完全だったもの） | ≤ 5.16.4 | 300,000+ | CVE-2026-107750 | – |
| Photo Gallery, Sliders, Proofing and Themes | 高 | リモートコード実行（RCE） | カスタム権限を持つ認証済みユーザーによるリモートコード実行（RCE）（XML-RPCの'meta_data'の一括代入とパストラバーサル経由） | ≤ 4.4.1 | 300,000+ | CVE-2026-76010 | – |
| Post SMTP | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型のDOMベースのクロスサイトスクリプティング（XSS）（'user_email' パラメータ（マルチサイトの登録 → 送信失敗メールのログ）経由） | ≤ 4.0.1 | 300,000+ | CVE-2026-75962 | – |
| Unlimited Elements for Elementor | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 2.0.19 | 300,000+ | CVE-2026-94662 | – |
| WebP Express | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 0.25.15 | 300,000+ | CVE-2026-97328 | – |
| WP Rollback | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | ≤ 3.1.2 | 300,000+ | CVE-2026-66435 | – |
| Advanced Google reCAPTCHA | 高 | 保護機能のバイパス | 認証不要の攻撃者によるログイン保護のバイパス | ≤ 5.40 | 200,000+ | CVE-2026-100518 | – |
| Anti-Spam by CleanTalk | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（ContactsEncoder の正規表現の最長一致を悪用したコメント本文経由） | ≤ 6.88 | 200,000+ | CVE-2026-103424 | – |
| Burst Statistics | 高 | 不適切な認証 | 不適切な認証によるアカウントへのアクセスの継続（'burst_share_token' による共有リンクの認証のバイパス経由） | ≤ 3.7.1 | 200,000+ | CVE-2026-97343 | – |
| CleanTalk Anti-Spam | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（登録時のパラメータ'user_email'経由） | ≤ 6.89.1 | 200,000+ | CVE-2026-109198 | – |
| MW WP Form | 高 | 情報漏えい | 認証不要の攻撃者による'post_id' パラメータからの機密情報の露出 | ≤ 5.1.7 | 200,000+ | CVE-2026-92086 | – |
| MW WP Form | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（'post_id' パラメータ（フォーム送信で保存された投稿メタ経由）経由） | ≤ 5.1.7 | 200,000+ | CVE-2026-96567 | – |
| Newsletter | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（カスタムフィールドのパラメータ'np1'経由） | ≤ 9.4.0 | 200,000+ | CVE-2026-96566 | – |
| Optimole | 高 | 情報漏えい | 購読者以上の権限を持つ認証済みユーザーによる情報露出 | Optimole 4.0.0 – 4.2.14 | 200,000+ | CVE-2026-96530 | – |
| Redirection for Contact Form 7 | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | Redirection for Contact Form 7 2.2.7 – 3.2.11 | 200,000+ | CVE-2026-111574 | – |
| Smash Balloon Social Post Feed | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（管理画面のビルダーのプレビューに表示される Facebook コメント経由） | ≤ 4.13.0 | 200,000+ | CVE-2026-93756 | – |
| Ultimate Member | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（'form_id' パラメータ経由） | ≤ 2.13.1 | 200,000+ | CVE-2026-96270 | – |
| WPConsent | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（Simple HTML DOM Parser の復元処理を悪用したコメント本文（mXSS）経由） | ≤ 1.1.9 | 200,000+ | CVE-2026-97640 | – |
| Advanced Ads | 高 | 情報漏えい | 購読者以上の権限を持つ認証済みユーザーによる情報露出 | ≤ 2.0.26 | 100,000+ | CVE-2026-94180 | – |
| Advanced Custom Fields: Extended | 高 | リモートコード実行（RCE） | 認証不要の攻撃者によるリモートコード実行（RCE） | ≤ 0.9.2.7 | 100,000+ | CVE-2026-94267 | – |
| Advanced Custom Fields: Extended | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行 | ≤ 0.9.2.7 | 100,000+ | CVE-2026-94263 | – |
| Advanced Custom Fields: Extended | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 0.9.2.7 | 100,000+ | CVE-2026-112313 | – |
| Advanced Custom Fields: Extended | 高 | 情報漏えい | 認証不要の攻撃者による機密情報の露出（ユーザーのパスワードハッシュなど。公開フォームに特定の設定がある場合） | ≤ 0.9.2.7 | 100,000+ | CVE-2026-110305 | – |
| Advanced File Manager | 高 | クロスサイトスクリプティング（XSS） | カスタム権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | Advanced File Manager < 6.0.0 | 100,000+ | CVE-2026-79627 | – |
| Appointment Booking Plugin | 高 | 決済のバイパス | 認証不要の攻撃者による決済のバイパス | ≤ 5.7.4 | 100,000+ | CVE-2026-105256 | – |
| Appointment Booking Plugin | 高 | 安全でない直接オブジェクト参照（IDOR） | エージェント以上の権限を持つ認証済みユーザーによる安全でない直接オブジェクト参照（IDOR） | ≤ 5.7.4 | 100,000+ | CVE-2026-105257 | – |
| Appointment Booking Plugin | 高 | 認証のバイパス | 認証不要の攻撃者による認証のバイパス（ワンタイムパスワードの試行回数カウンターの競合状態経由） | ≤ 5.7.4 | 100,000+ | CVE-2026-110653 | – |
| Appointment Booking Plugin | 高 | 情報漏えい | 認証不要の攻撃者による機密情報の開示（'customer[uuid]' パラメータへのORM演算子の挿入経由） | ≤ 5.7.4 | 100,000+ | CVE-2026-111602 | – |
| Appointment Booking Plugin | 高 | 認証のバイパス | 認証不要の攻撃者による認証のバイパスによる顧客アカウントの乗っ取り（create_wp_user_for_customer() の username_exists による代替処理での検証の不備経由） | ≤ 5.7.2 | 100,000+ | CVE-2026-100163 | – |
| Appointment Booking Plugin | 高 | 安全でない直接オブジェクト参照（IDOR） | 認証不要の攻撃者による安全でない直接オブジェクト参照（IDOR）による機密情報の開示（'booking[id]'・'cart[id]' パラメータ経由） | ≤ 5.7.3 | 100,000+ | CVE-2026-103366 | – |
| Appointment Booking Plugin | 高 | 安全でない直接オブジェクト参照（IDOR） | カスタム権限を持つ認証済みユーザーによる安全でない直接オブジェクト参照（IDOR） | Appointment Booking Plugin < 5.6.5 | 100,000+ | CVE-2026-105197 | – |
| Appointment Booking Plugin | 高 | 安全でない直接オブジェクト参照（IDOR） | カスタム権限を持つ認証済みユーザーによる安全でない直接オブジェクト参照（IDOR） | Appointment Booking Plugin < 5.6.9 | 100,000+ | CVE-2026-105196 | – |
| Appointment Booking Plugin | 高 | 安全でない直接オブジェクト参照（IDOR） | 認証不要の攻撃者による安全でない直接オブジェクト参照（IDOR） | Appointment Booking Plugin < 5.7.3 | 100,000+ | CVE-2026-105198 | – |
| Appointment Booking Plugin | 高 | 安全でない直接オブジェクト参照（IDOR） | 購読者以上の権限を持つ認証済みユーザーによる安全でない直接オブジェクト参照（IDOR）による任意の顧客の個人情報の改変 | ≤ 5.6.9 | 100,000+ | CVE-2026-17538 | – |
| Beaver Builder Page Builder | 高 | 任意のショートコード実行 | 認証不要の攻撃者による任意のショートコード実行（サイドバーのモジュールウィジェットの出力経由） | ≤ 2.11.0.5 | 100,000+ | CVE-2026-92084 | – |
| Download Manager | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による反射型のDOMベースのクロスサイトスクリプティング（XSS）（'REFERRER' パラメータ経由） | ≤ 3.3.57 | 100,000+ | CVE-2026-12054 | – |
| Download Manager | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | ≤ 3.3.70 | 100,000+ | CVE-2026-94405 | – |
| DTX | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | ≤ 5.0.7 | 100,000+ | CVE-2026-62043 | – |
| GiveWP | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | ≤ 4.19.0.0 | 100,000+ | CVE-2026-111976 | – |
| GiveWP | 高 | クロスサイトスクリプティング（XSS） | GiveWPのワーカー以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 4.19.0.0 | 100,000+ | CVE-2026-111979 | – |
| GiveWP | 高 | 保護機能のバイパス | 認証不要の攻撃者による寄付金額の制限のバイパス | ≤ 4.19.0.0 | 100,000+ | CVE-2026-111974 | – |
| GiveWP | 高 | パストラバーサル | GiveWPのマネージャー以上の権限を持つ認証済みユーザーによるパストラバーサル | ≤ 4.19.0.0 | 100,000+ | CVE-2026-111978 | – |
| GiveWP | 高 | 権限昇格 | 認証不要の攻撃者による権限昇格 | ≤ 4.17.0 | 100,000+ | CVE-2026-104405 | – |
| GiveWP | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 4.17.0 | 100,000+ | CVE-2026-104672 | – |
| Hide My WP Ghost | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（コメント本文経由） | ≤ 7.0.12 | 100,000+ | CVE-2026-89051 | – |
| LazyLoad Plugin | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（コメント本文経由） | ≤ 2.4.0 | 100,000+ | CVE-2026-100196 | – |
| Login Lockdown & Protection | 高 | 保護機能のバイパス | 認証不要の攻撃者によるログイン試行制限のバイパス | ≤ 2.17 | 100,000+ | CVE-2026-97308 | – |
| Modula Image Gallery | 高 | 権限チェックの不備 | 認証不要の攻撃者による権限チェックの不備（Missing Authorization）による機密情報の露出（カスタム投稿タイプ modula-gallery で公開されている RESTフィールド'modulaSettings'経由） | ≤ 3.0.11 | 100,000+ | CVE-2026-107659 | – |
| Modula Image Gallery | 高 | 情報漏えい | 認証不要の攻撃者による情報露出 | ≤ 3.0.11 | 100,000+ | CVE-2026-105876 | – |
| Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content | 高 | 任意のショートコード実行 | 購読者以上の権限を持つ認証済みユーザーによる任意のショートコード実行（ProfilePress のユーザープロフィールの「コメント」タブに表示されるコメント本文経由） | ≤ 4.17.5 | 100,000+ | CVE-2026-104003 | – |
| Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content | 高 | 情報漏えい | 購読者以上の権限を持つ認証済みユーザーによる機密情報の露出（プロフィールのニックネーム・プロフィール情報欄へのショートコードの挿入経由） | ≤ 4.17.4 | 100,000+ | CVE-2026-92536 | – |
| Payment Plugins for Stripe WooCommerce | 高 | クロスサイトスクリプティング（XSS） | 反射型のDOMベースのクロスサイトスクリプティング（XSS）（URLフラグメント'#response'経由） | ≤ 4.0.17 | 100,000+ | CVE-2026-89100 | – |
| Photo Gallery by 10Web | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 1.8.47 | 100,000+ | CVE-2026-42715 | – |
| Presto Player | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（<presto-player> タグを含むコメント本文経由） | ≤ 4.5.1 | 100,000+ | CVE-2026-96682 | – |
| Prime Slider | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（Content_Guard の正規表現の引用符エスケープを悪用したコメント本文経由） | ≤ 4.7.2 | 100,000+ | CVE-2026-111111 | – |
| Real Cookie Banner: GDPR & ePrivacy Cookie Consent | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（コメント経由） | ≤ 5.3.5 | 100,000+ | CVE-2026-92977 | – |
| Relevanssi | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（コメント本文経由） | ≤ 4.28.3 | 100,000+ | CVE-2026-97641 | – |
| Relevanssi | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（'comment' パラメータ経由。コメントの索引化と強調表示が有効な場合） | ≤ 4.28.5 | 100,000+ | CVE-2026-116522 | – |
| Schema & Structured Data for WP & AMP | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（'saswp_review_text' パラメータ経由） | ≤ 1.67 | 100,000+ | CVE-2026-96570 | – |
| Search Regex | 高 | リモートコード実行（RCE） | 購読者以上の権限を持つ認証済みユーザーによるリモートコード実行（RCE）（ユーザーメタのシリアライズ文字列の破損経由） | ≤ 3.5 | 100,000+ | CVE-2026-104932 | – |
| SiteOrigin CSS | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型のDOMベースのクロスサイトスクリプティング（XSS）（ビジュアルインスペクターでのコメント内リンクのhref経由） | ≤ 1.6.7 | 100,000+ | CVE-2026-111122 | – |
| Social Sharing Plugin | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 3.3.79 | 100,000+ | CVE-2026-94170 | – |
| String locator | 高 | PHPオブジェクトインジェクション | 認証不要の攻撃者によるPHPオブジェクトインジェクション | ≤ 2.6.7 | 100,000+ | CVE-2026-97188 | – |
| Tutor LMS | 高 | クロスサイトスクリプティング（XSS） | 購読者以上の権限を持つ認証済みユーザーによる反射型のDOMベースのクロスサイトスクリプティング（XSS）（'redirect_url' パラメータ経由） | ≤ 4.0.8 | 100,000+ | CVE-2026-88963 | – |
| Tutor LMS | 高 | 競合状態（レースコンディション） | 購読者以上の権限を持つ認証済みユーザーによる競合状態（レースコンディション） | ≤ 4.1.2 | 100,000+ | CVE-2026-42698 | – |
| Tutor LMS | 高 | 安全でない直接オブジェクト参照（IDOR） | 講師以上の権限を持つ認証済みユーザーによる安全でない直接オブジェクト参照（IDOR） | Tutor LMS 4.0.5 – 4.1.0 | 100,000+ | CVE-2026-85571 | – |
| Tutor LMS | 高 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 4.1.0 | 100,000+ | CVE-2026-42702 | – |
| WPML Multilingual & Multicurrency for WooCommerce | 高 | PHPオブジェクトインジェクション | ショップマネージャー以上の権限を持つ認証済みユーザーによるPHPオブジェクトインジェクション | ≤ 5.5.8 | 100,000+ | CVE-2026-62130 | – |
| Elementor Website Builder | 中 | クロスサイトスクリプティング（XSS） | 投稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 4.3.4 | 10,000,000+ | CVE-2026-81812 | – |
| Elementor Website Builder | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 4.3.4 | 10,000,000+ | CVE-2026-81813 | – |
| Elementor Website Builder | 中 | 権限チェックの不備 | 寄稿者以上の権限を持つ認証済みユーザーによる権限チェックの不備（Missing Authorization）による機密情報の露出（'is_public'・'keys_conversion_map' パラメータ経由） | ≤ 4.2.3 | 10,000,000+ | CVE-2026-11905 | – |
| LiteSpeed Cache | 中 | クロスサイトスクリプティング（XSS） | 購読者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS）（VPI画像属性の再シリアライズ経由） | ≤ 7.9.1 | 7,000,000+ | CVE-2026-109215 | – |
| LiteSpeed Cache | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | LiteSpeed Cache < 7.9.2 | 7,000,000+ | CVE-2026-113501 | – |
| Rank Math SEO | 中 | PHPオブジェクトインジェクション | 寄稿者以上の権限を持つ認証済みユーザーによるPHPオブジェクトインジェクションによるリモートコード実行（RCE） | ≤ 1.0.276 | 4,000,000+ | CVE-2026-1928 | – |
| Jetpack | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 16.2 | 3,000,000+ | CVE-2026-106601 | – |
| Code Snippets | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 3.9.0 | 1,000,000+ | CVE-2026-106095 | – |
| Essential Addons for Elementor | 中 | クロスサイトスクリプティング（XSS） | 投稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | Essential Addons for Elementor < 6.8.7 | 1,000,000+ | CVE-2026-110510 | – |
| Essential Addons for Elementor | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | Essential Addons for Elementor < 6.8.7 | 1,000,000+ | CVE-2026-110537 | – |
| Essential Addons for Elementor | 中 | 権限昇格 | 投稿者以上の権限を持つ認証済みユーザーによる権限昇格 | ≤ 6.8.5 | 1,000,000+ | CVE-2026-110898 | – |
| Speed Optimizer | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | Speed Optimizer < 7.8.5 | 1,000,000+ | CVE-2026-111738 | – |
| Starter Templates: AI-Powered Website Templates for Elementor & Gutenberg | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 4.7.7 | 1,000,000+ | CVE-2026-39721 | – |
| Starter Templates: AI-Powered Website Templates for Elementor & Gutenberg | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 4.7.7 | 1,000,000+ | CVE-2026-102393 | – |
| Polylang | 中 | PHPオブジェクトインジェクション | 編集者以上の権限を持つ認証済みユーザーによるPHPオブジェクトインジェクション | ≤ 3.8.9 | 900,000+ | CVE-2026-97278 | – |
| Polylang | 中 | 情報漏えい | 寄稿者以上の権限を持つ認証済みユーザーによる情報露出 | ≤ 3.8.7 | 900,000+ | CVE-2026-39783 | – |
| W3 Total Cache | 中 | パストラバーサル | 投稿者以上の権限を持つ認証済みユーザーによるパストラバーサル | ≤ 2.10.5 | 900,000+ | CVE-2026-107321 | – |
| Autoptimize | 中 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS）（コメント投稿者名経由） | ≤ 3.1.15.1 | 800,000+ | CVE-2026-78471 | – |
| Fluent Forms | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 6.2.15 | 800,000+ | CVE-2026-111831 | – |
| Fluent Forms | 中 | 権限チェックの不備 | カスタム権限を持つ認証済みユーザーによる権限チェックの不備（Missing Authorization）による機密データの露出と改変 | ≤ 6.2.5 | 700,000+ | CVE-2026-15178 | – |
| Enable Media Replace | 中 | 権限チェックの不備 | 投稿者以上の権限を持つ認証済みユーザーによる権限チェックの不備（Missing Authorization）による投稿本文の改変（メディアの差し替え処理経由） | ≤ 4.2.2 | 600,000+ | CVE-2026-85655 | – |
| Forminator Forms | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 1.58.0 | 600,000+ | CVE-2026-108486 | – |
| Forminator Forms | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 1.57.3 | 600,000+ | CVE-2026-65459 | – |
| Forminator Forms | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 1.57.2 | 600,000+ | CVE-2026-96335 | – |
| Kadence Blocks | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 3.8.0.1 | 600,000+ | CVE-2026-115602 | – |
| Kadence Blocks | 中 | クロスサイトスクリプティング（XSS） | 投稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS）（ブロックのフォントファミリー属性経由） | ≤ 3.7.12 | 600,000+ | CVE-2026-104762 | – |
| Kadence Blocks | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 3.7.12 | 600,000+ | CVE-2026-105890 | – |
| Kadence Blocks | 中 | クロスサイトスクリプティング（XSS） | 認証不要の攻撃者による格納型クロスサイトスクリプティング（XSS） | ≤ 3.7.11.1 | 600,000+ | CVE-2026-103354 | – |
| MetForm | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 4.3.2 | 600,000+ | CVE-2026-114180 | – |
| Premium Addons for Elementor | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 4.11.110 | 600,000+ | CVE-2026-109890 | – |
| Premium Addons for Elementor | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 4.11.110 | 600,000+ | CVE-2026-108482 | – |
| Premium Addons for Elementor | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 4.11.109 | 600,000+ | CVE-2026-103084 | – |
| Royal Addons for Elementor | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | Royal Addons for Elementor 1.7.1037 – 1.7.1069 | 600,000+ | CVE-2026-107098 | – |
| Royal Addons for Elementor | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | Royal Addons for Elementor 1.3.71 – 1.7.1069 | 600,000+ | CVE-2026-107097 | – |
| Royal Addons for Elementor | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | Royal Addons for Elementor 1.3.68 – 1.7.1069 | 600,000+ | CVE-2026-106647 | – |
| Royal Addons for Elementor | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 1.7.1069 | 600,000+ | CVE-2026-112865 | – |
| Royal Addons for Elementor | 中 | リモートコード実行（RCE） | 寄稿者以上の権限を持つ認証済みユーザーによるリモートコード実行（RCE） | ≤ 1.7.1068 | 600,000+ | CVE-2026-111851 | – |
| The Events Calendar | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 6.18.1 | 600,000+ | CVE-2026-110903 | – |
| Meta Box | 中 | クロスサイトスクリプティング（XSS） | 購読者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS）（背景項目の配列のキー経由） | ≤ 5.15.2 | 500,000+ | CVE-2026-109216 | – |
| Meta Box | 中 | 権限チェックの不備 | 権限チェックの不備（Missing Authorization） | ≤ 5.15.2 | 500,000+ | CVE-2026-109700 | – |
| SpeedyCache | 中 | 情報漏えい | 認証不要の攻撃者による機密情報の露出（キャッシュ書き込み時に comment_author_* Cookie を確認しない不適切なキャッシュ設定経由） | ≤ 1.4.2 | 500,000+ | CVE-2026-104006 | – |
| SureForms | 中 | クロスサイトスクリプティング（XSS） | 寄稿者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 2.12.7 | 500,000+ | CVE-2026-108495 | – |
| WPForms | 低 | クロスサイトスクリプティング（XSS） | 反射型クロスサイトスクリプティング（XSS）（iframe の srcdoc 属性内のスマートタグ'query_var'経由） | ≤ 2.0.2.1 | 5,000,000+ | CVE-2026-101921 | – |
| Rank Math SEO | 低 | SQLインジェクション | 管理者以上の権限を持つ認証済みユーザーによるSQLインジェクション | ≤ 1.0.279 | 4,000,000+ | CVE-2026-104753 | – |
| Rank Math SEO | 低 | 任意ファイルのアップロード | 管理者以上の権限を持つ認証済みユーザーによる任意ファイルのアップロード | ≤ 1.0.279 | 4,000,000+ | CVE-2026-104752 | – |
| Rank Math SEO | 低 | クロスサイトスクリプティング（XSS） | 管理者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | ≤ 1.0.279 | 4,000,000+ | CVE-2026-104754 | – |
| All in One SEO | 低 | クロスサイトスクリプティング（XSS） | 反射型のDOMベースのクロスサイトスクリプティング（XSS）（URLのパス経由） | ≤ 5.0.1.1 | 2,000,000+ | CVE-2026-85492 | – |
| Code Snippets | 低 | SQLインジェクション | 管理者以上の権限を持つ認証済みユーザーによるSQLインジェクション | ≤ 3.9.0 | 1,000,000+ | CVE-2026-106097 | – |
| Duplicator | 低 | 任意のコード実行 | マルチサイトのサブサイト管理者以上の権限を持つ認証済みユーザーによる任意のコード実行 | ≤ 1.5.17 | 1,000,000+ | CVE-2026-115251 | – |
| Essential Addons for Elementor | 低 | 権限昇格 | 認証不要の攻撃者による'page_id' パラメータを悪用した権限昇格（Elementor のリビジョン経由） | ≤ 6.8.7 | 1,000,000+ | CVE-2026-118205 | – |
| EWWW Image Optimizer | 低 | クロスサイトスクリプティング（XSS） | 反射型クロスサイトスクリプティング（XSS）（REQUEST_URIのパラメータのキー経由） | ≤ 8.7.7 | 1,000,000+ | CVE-2026-92826 | – |
| Speed Optimizer | 低 | クロスサイトスクリプティング（XSS） | 管理者以上の権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS） | Speed Optimizer < 7.8.5 | 1,000,000+ | CVE-2026-111737 | – |
| Redux Framework | 低 | 権限昇格 | 購読者以上の権限を持つ認証済みユーザーによる権限昇格（Users 拡張機能経由） | ≤ 4.5.11 | 900,000+ | CVE-2025-14123 | – |
| Fluent Forms | 低 | クロスサイトスクリプティング（XSS） | 反射型クロスサイトスクリプティング（XSS）（エディターのSmartCodeパラメータ'{get.*}'経由） | ≤ 6.2.14 | 700,000+ | CVE-2026-101324 | – |
| Backuply | 低 | SQLインジェクション | 購読者以上の権限を持つ認証済みユーザーによる2次的なSQLインジェクション（Second-Order SQL Injection）（復元処理による権限昇格経由） | ≤ 1.5.8 | 600,000+ | CVE-2026-93953 | – |
| WP Statistics | 低 | クロスサイトスクリプティング（XSS） | 反射型クロスサイトスクリプティング（XSS）（REQUEST_URIのクエリパラメータのキー経由） | ≤ 14.16.14 | 600,000+ | CVE-2026-97652 | – |
| Kirki | 低 | PHPオブジェクトインジェクション | 購読者以上の権限を持つ認証済みユーザーによるPHPオブジェクトインジェクションによる管理者アカウントの乗っ取り（AJAXエンドポイント'get-single-symbol'経由） | ≤ 6.2.5 | 500,000+ | CVE-2026-75891 | – |
| Kirki | 低 | PHPオブジェクトインジェクション | 管理者以上の権限を持つ認証済みユーザーによるPHPオブジェクトインジェクション（ZIPテンプレートのインポートにおける信頼できない入力のデシリアライズ経由） | ≤ 6.3.2 | 500,000+ | CVE-2026-104734 | – |
| Kirki | 低 | クロスサイトスクリプティング（XSS） | カスタム権限を持つ認証済みユーザーによる格納型クロスサイトスクリプティング（XSS）（ページビルダーのテキストコンテンツ経由） | ≤ 6.2.0 | 500,000+ | CVE-2026-14572 | – |
| Kirki | 低 | サーバーサイドリクエストフォージェリ（SSRF） | 編集者以上の権限を持つ認証済みユーザーによるサーバーサイドリクエストフォージェリ（SSRF） | ≤ 6.3.1 | 500,000+ | CVE-2026-84224 | – |
| MailPoet | 低 | クロスサイトスクリプティング（XSS） | 反射型クロスサイトスクリプティング（XSS） | MailPoet < 5.14.2 | 500,000+ | – | – |
| WP Statistics | 低 | クロスサイトスクリプティング（XSS） | 反射型クロスサイトスクリプティング（XSS） | ≤ 14.16.14 | 500,000+ | CVE-2026-97276 | – |
2026年10月度は合計414件の脆弱性が報告されており、このうち187件を掲載しています。掲載基準に満たない227件は、以下の参照元でご確認ください。
脆弱性情報参照元：Vulnerability & Patch Roundup｜SUCURi BLOG
WordPress保守・運用のパートナーなら「wp.support」にお任せ！
WordPressサイトを運用していて、以下のようなお悩みはありませんか？
- 管理画面を使いやすくしたいけれど、カスタマイズする時間や技術がない…
- サイトのUI/UXを改善したいけれど、自社内では難しい…
- WordPressサイトを高速化したいけれど、ノウハウがない…
- セキュリティ対策をしたいけれど、知識のある人材がいない…
- 日々の業務に追われて、バージョンアップなどの保守業務が放置気味…
- ちょっとしたトラブルを気軽に相談できる相手が欲しい…
「wp.support」は、WordPressのプロフェッショナル集団によるWordPress保守サービスです。
「セキュリティ対策」「バージョンアップ対応」「定期バックアップ」はもちろん、「電話サポートが無制限」なのでカスタマイズの方法やトラブル発生時にも気軽にプロに相談できます。
既に導入済みのお客様からも、
「些細なことでも気軽に相談できるパートナー的な存在」
「困ったら相談していいんだ、と気持ちが楽になった」
と大変ご好評をいただいています。
WordPress保守・運用のパートナーをお探しなら、ぜひお気軽にお問合せください。
バージョンアップが面倒だと思ったら WordPress保守・セキュリティ対策は『wp.support』にお任せ！
WordPressのバージョンアップやセキュリティ対策にお悩みではないですか？
面倒な保守・運用作業は全て任せて、コア事業に集中してください。
大手・上場企業100社以上のWebサイトの安全を守る、WordPressのプロフェッショナル集団が、あなたのWordPressサイトを守ります！
【対応範囲】
・WordPress、プラグインのバージョンアップ ・セキュリティ対策 ・継続的なバックアップ ・緊急時の復旧対応 ・技術サポート・電話/メールサポート無制限 etc...
WordPressに関することなら何でもご相談ください！