HIGHCMS・プラグインCVE-2026-1044公表日: 2026年10月24日 10:30 JST

WordPress人気プラグインにおける認証バイパスおよび特権昇格の脆弱性

● OFFICIAL REFERENCE SOURCE / 一次情報源

JVN iPedia (脆弱性対策情報データベース)

脆弱性・インシデントの概要

国内のコーポレートサイトでも広く利用されているWordPress問い合わせフォームおよび会員プラグインにおいて、REST APIエンドポイントのアクセス制御の不備による認証バイパス脆弱性が確認されました。未認証の攻撃者が管理者権限のアカウントを不正作成できる状態になっていました。

サイト全体の改ざん、バックドアの設置、不正なリダイレクトによるフィッシング誘導、個人情報や問い合わせデータの不正窃取などの深刻な被害が発生する恐れがあります。

WordPress 6.0以上、該当するフォーム管理プラグインバージョン 4.2.0 未満の環境

管理画面またはWP-CLI経由で該当プラグインを最新バージョンへ直ちにアップデートしてください。また、管理画面（/wp-admin）へのIP制限および二要素認証の導入を推奨します。

HACHI（蜂）は攻撃者の偵察視点から、SSL/TLS設定・HTTPヘッダー・SPF/DMARCなどの潜在リスクを非侵入・即時で無料診断します。