WordPress セキュリティリスク情報(10/26日版)

WordPressサイトを運営されている皆さまへ。直近1週間（2026年10月20日〜10月26日）に公開された、プラグインの脆弱性情報をお届けします。

今週、脆弱性（セキュリティ上の弱点）が見つかったプラグインは合計100件です。そのうち33件は、5万件以上のサイトで使われている人気プラグインです。

今週は、Elementor（エレメンター）と、その追加機能（アドオン）に問題が集中しました。Essential Addons、PowerPack、Royal Addons、MetFormなど、Elementorと一緒に使うプラグインが多く並んでいます。また、お問い合わせフォームや、バックアップ・サイト移行のプラグインでも問題が見つかっています。フォームは外部からの書き込みを受け付ける入口です。バックアップ系はサイト全体のデータを扱います。どちらも狙われると被害が大きくなりやすい種類です。

今週の注目プラグインは、画像を軽くする「WebP Express」と、国内でも利用者の多いページ作成ツール「Elementor」の2つです。

「今、WordPressを使っていて心配」「自分のサイトがWordPressかわからない」「他社が作ったWordPressなのでセキュリティ診断断られた・・・」そんなご相談も無料で承ります。
どんなご相談も気兼ねなくお尋ねください。

Web制作のご相談は株式会社ジオコードへ

今週のサマリー

※本号の「危険度」は、CVSS（脆弱性の深刻さを10点満点で示す国際的な基準）の値です。「管理番号」は、CVE（脆弱性ごとに付けられる世界共通の番号）を指します。

項目	件数
脆弱性検出プラグイン総数	100件
要緊急確認（利用サイト数5万件以上）	33件
その他の脆弱性検出プラグイン	67件

要緊急確認：利用サイト数5万件以上のプラグイン

以下は、多くのサイトで使われているプラグインです。お使いのものがあれば、早めに最新バージョンへアップデートしてください。

「今、WordPressを使っていて心配」「自分のサイトがWordPressかわからない」「他社が作ったWordPressなのでセキュリティ診断断られた・・・」そんなご相談も無料で承ります。
どんなご相談も気兼ねなくお尋ねください。

Web制作のご相談は株式会社ジオコードへ

• Depicter — Popup & Slider Builder
• Download Monitor
• Essential Addons for Elementor – Popular Elementor Templates & Widgets
• LiteSpeed Cache
• Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE
• Popup Builder – Create highly converting, mobile friendly marketing popups.
• Speed Optimizer – The All-In-One Performance-Boosting Plugin
• CleanTalk Anti-Spam – Complete Spam Protection
• PowerPack Addons for Elementor (Free Widgets, Extensions and Templates)
• Strong Testimonials
• MetForm – Contact Form, Survey, Quiz, Conditional Forms, Form Templates & Custom Form Builder for Elementor
• Addon Elements for Elementor (formerly Elementor Addon Elements)
• Advanced File Manager – Ultimate File Manager for WordPress And Document Library Solution
• Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder
• Simple Banner – Easily add multiple Banners/Bars/Notifications/Announcements to the top or bottom of your website
• SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments
• Meta Box – A Framework for Dynamic Websites
• Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More
• Brizy – Page Builder
• Advanced Custom Fields: Extended
• Royal Addons for Elementor – Addons and Templates Kit for Elementor
• Booking for Appointments and Events Calendar – Amelia
• LearnPress – WordPress LMS Plugin for Create and Sell Online Courses
• WebP Express
• WP Ultimate Review
• Ajax Search Lite – Live Search & Filter
• Event Tickets and Registration
• Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder
• YITH WooCommerce Wishlist
• Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder
• AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini
• Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress
• Elementor Website Builder – more than just a page builder

今週の注目プラグイン（1）WebP Express

項目	内容
どんなプラグイン？	サイトの画像を軽い「WebP」形式に自動で変換し、表示を速くするプラグイン
利用サイト数	30万件以上
危険度	7.5／10（高い）
対象のバージョン	0.25.15以前
修正済みバージョン	0.25.16（2026年10月18日公開。脆弱性の詳細は10月20日に公表）
攻撃の条件	ログイン不要。ただし「Alter HTML」機能を有効にしている場合のみ（初期設定の配信方法では影響なし）
実際の被害	本稿執筆時点で、悪用が確認されたという報告は見当たりません
管理番号	CVE-2026-97328
参照元	WPScan 脆弱性データベース、WordPress.org（WebP Express 変更履歴）

何が問題なの？

WebP Expressは、画像を軽くしてサイトの表示を速くするプラグインです。画像の配信方法はいくつかあり、そのひとつが、ページのHTMLを書き換えて画像を差し替える「Alter HTML」機能です。

今回の問題は、このHTMLを書き換える処理にありました。書き換えの際、ページ内の文字を安全な形に変換しないまま出力していたのです。その結果、次のような流れで攻撃が成立します。

1. 第三者が、コメント欄などログインせずに書き込める場所に、細工した文字を送ります。
2. その書き込みがページに表示されると、WebP ExpressがHTMLを書き換える際に、その文字を無害化せずに出力します。
3. ページを開いた人のブラウザで、仕込まれた悪いプログラムが動きます。

管理者が開いてしまうと、管理者の権限を悪用され、サイトを乗っ取られる恐れがあります。

なお、攻撃の詳しい手順は、2026年11月20日に公開される予定です。公開後は狙われやすくなるため、できるだけ早くアップデートを済ませてください。

今すぐやること

1. プラグインをバージョン0.25.16以上にアップデートしてください。
2. すぐにアップデートできない場合は、WebP Expressの設定画面で「Alter HTML」機能を一時的に無効にしてください。NGINX（Webサーバーソフトの一種。不明な場合は制作会社やサーバー会社に確認してください）でお使いの場合、導入時の推奨手順でこの機能が有効になっていることがあります。
3. 未承認・承認済みのどちらのコメントにも、不審な文字列やリンクがないか確認してください。
4. アップデートや設定変更の後は、キャッシュプラグインやCDN（配信を速くするサービス）に一時保存されたページ（キャッシュ）を削除してください。古いページが残っていると、仕込まれた文字が表示され続けることがあります。

補足： 0.25.16では、別の問題も修正されています。画像変換を外部に提供する「Web Service」機能を有効にしている場合、細工したデータを送ると、APIキー（利用を許可された相手だけが持つ合言葉）なしで使えてしまう抜け穴がありました。この機能を使っていない場合は、無効のままにしてください。

今週の注目プラグイン（2）Elementor

項目	内容
どんなプラグイン？	ドラッグ＆ドロップでページを作れる、世界最大級のページ作成ツール
利用サイト数	1,000万件以上
危険度	6.8／10（中程度）、6.4／10（中程度）の2件
対象のバージョン	4.3.4以前
修正済みバージョン	4.3.5（2026年10月13日公開。脆弱性の詳細は10月19日〜21日に公表）
攻撃の条件	攻撃者が、寄稿者（記事の下書きができる権限）以上、または投稿者（自分の記事を公開できる権限）以上のアカウントでログインできること
実際の被害	本稿執筆時点で、悪用が確認されたという報告は見当たりません
管理番号	CVE-2026-81813、CVE-2026-81812
参照元	WPScan 脆弱性データベース、WordPress.org（Elementor 変更履歴）

何が問題なの？

今回見つかったのは、SVG（ロゴやアイコンに使われる画像形式）を使って、悪いプログラムを仕込める問題が2件です。SVGは画像でありながら、中にプログラムを書き込めるという特徴があります。そのため、本来はアップロード時に危険な部分を取り除く処理が必要です。

問題①：SVG内の記述チェック漏れ（CVE-2026-81813、危険度6.8／中程度）

• 寄稿者以上のアカウントで悪用できます。
• ElementorはSVGの中身を検査していましたが、一部の記述を検査していませんでした。
• ページ内に表示されたSVGから、閲覧者のブラウザで悪いプログラムが動きます。
• 影響を受けるのは、Google ChromeやMicrosoft EdgeなどのChrome系ブラウザです。Firefoxは影響を受けないとされています。

問題②：SVGアップロード時の無害化漏れ（CVE-2026-81812、危険度6.4／中程度）

• 投稿者以上のアカウントで悪用できます。
• 一部のアップロード経路で、SVGの危険な部分を取り除く処理が行われていませんでした。
• Elementorの設定（「設定」→「詳細（Advanced）」）で「Unfiltered File Uploads」を有効にしている場合のみ影響します。初期設定では無効です。

2件に共通するリスク

どちらも、仕込まれたページを管理者が開くと、管理者の権限を悪用される恐れがあります。外部ライターや複数の担当者にアカウントを発行しているサイトは、特に注意してください。

なお、攻撃の詳しい手順は、2026年11月2日に公開される予定です。公開まで1週間しかありません。すぐにアップデートしてください。

4.3.0〜4.3.1をお使いの方へ

この2つのバージョンには、9月に公開された別の問題（CVE-2026-62062、危険度8.8／高い）も残っています。ログイン中の管理者が細工されたリンクを開くだけで、攻撃者用の管理者アカウントを作られる恐れがあるものです。この問題は、攻撃の手順がすでにインターネット上で公開されています。該当バージョンをお使いの場合は、最優先でアップデートしてください。4.3.5にすれば、こちらもあわせて解消します。

今すぐやること

1. バックアップを取得したうえで、Elementorをバージョン4.3.5以上にアップデートしてください。Elementor Proをお使いの場合は、Proも最新版にそろえてください。
2. 寄稿者・投稿者などのアカウントを確認し、使っていないものや見覚えのないものは削除してください。
3. Elementorの設定で「Unfiltered File Uploads」が有効になっていないか確認し、必要がなければ無効にしてください。ただし、この設定で防げるのは問題②のみです。問題①はアップデートしないと解消しません。
4. メディアライブラリに、見覚えのないSVGファイルがないか確認してください。

補足： Elementorは、大きな更新の後に表示崩れが報告されることがあります。可能であれば、検証用の環境で動作を確認してから、本番サイトをアップデートすると安心です。

---

その他の脆弱性検出プラグイン一覧

以下の67件にも、今週新たに脆弱性が報告されています。お使いのものがないか確認してください。

• aBlocks – Gutenberg Blocks, User Dashboard Builder, Popup Builder, Form Builder & Animation Builder
• HIPAA Forms
• User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor
• Prime Mover – Backup and Migration
• Extensions for Leaflet Map
• ND Shortcodes
• Waitlist Woocommerce ( Back in stock notifier )
• Restaurant Menu – Food Ordering System – Table Reservation
• ЮKassa для WooCommerce
• ShopMagic – email automation for WordPress
• Majestic Support – The Leading-Edge Help Desk & Customer Support Plugin
• Page and Post Restriction
• Sunshine Photo Cart – Client Photo Gallery & Photo Proofing for Photographers
• Off-Canvas Sidebars & Menus (Slidebars)
• SureDash – Community, Courses & Member Dashboard
• Falcon – Cache, Performance, Security, Cleanup, and Tweaks
• MarketKing — Ultimate WooCommerce Multivendor Marketplace Solution
• Xpro Addons — 150+ Widgets for Elementor
• Interactive Content – H5P
• MasterStudy LMS WordPress Plugin – for Online Courses and Education
• Tailored Tools
• eRoom – Webinar & Meeting Plugin for Zoom, Google Meet, Microsoft Teams
• Booking Package
• Car Rental Manager – Online Vehicle Booking System
• Contest Gallery – Upload & Vote Photos, Media, Sell with PayPal & Stripe
• GamiPress – Gamification plugin to reward points, badges & ranks in WordPress, now with AI
• Knit Pay – Cashfree, Instamojo, Razorpay, PayPal and more
• Participants Database
• VikRentCar Car Rental Management System
• WPMobile.App – Android and iOS App Builder
• WP User Manager – Registration Form, Login Form, User Profile Builder & Member Directory
• Bus Ticket Booking with Seat Reservation
• Booktics – Appointment Booking Calendar for Service Businesses
• Rootblox – Header & Footer Builder for Full Site Editing (FSE)
• Seriously Simple Podcasting
• Duplicator Pro
• Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction
• Workreap Core
• WP Mailster
• Contact Form Email
• Eventer
• FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler
• Infility Global
• Link Library
• MB Custom Post Types & Custom Taxonomies
• Photo Engine (Media Organizer & Lightroom)
• Subscribe to Comments
• DiviGear Carousel
• EventON – Subscriber
• Mang Board
• BjornTech Swish for WooCommerce
• Geo Mashup
• Surfer – WordPress Plugin
• ThemeHunk Customizer
• Paid Videochat Turnkey Site – HTML5 PPV Live Webcams
• YITH WooCommerce Product Bundles
• FluentCommunity – Ultra-Fast High-Performance Social Network, Community, LMS & Online Courses
• JetElements
• E2Pdf – Export Pdf Tool for WordPress
• Broadcast Live Video – Live Streaming : WebRTC, HLS, RTSP, RTMP
• Travelly – Tour & Travel Booking Manager for WooCommerce
• Team Members – A WordPress Team Plugin with Gallery, Grid, Carousel, Slider, Table, List, and More
• GS Pinterest Portfolio – Pins Grid, Masonry, User Profile, Popup & Board Widgets
• Live Summary for Gravity Forms
• Backup and Staging by WP Time Capsule
• Click n Chat (Chat Widget Integration)
• Escape Room Booking Pro

---

運用担当者様へのお願い

定期的な対策チェックリスト

• WordPress本体・プラグイン・テーマを常に最新バージョンにアップデートする
• 使用していないプラグイン・テーマは削除する
• 管理画面へのアクセス制限（接続できる場所の制限や、2段階認証など）を設定する
• 定期的にバックアップを取得し、復元手順を確認しておく
• WAF（Web Application Firewall。不正な通信を遮断する仕組み）の導入を検討する
• コメント欄を開放している場合は、承認前に不審な文字列やリンクが含まれていないか確認する
• 外部ライターなどに発行したアカウントは定期的に見直し、不要なものは削除する

脆弱性は毎週のように見つかります。アップデートの通知が来たら、早めに対応することがサイトを守るいちばんの近道です。

とはいえ、毎週の情報を追いかけてアップデートを続けるのは大変です。特にElementorのように、更新後の表示確認まで必要なプラグインは手間がかかります。そうした負担を減らしたい企業様は、ぜひジオコードのWordPressセキュリティプランをご検討ください。アップデート対応から脆弱性の監視、改ざん検知まで、まとめてサポートいたします。