WordPress セキュリティリスク情報(11/2日版)

WordPressサイトを運営されている皆さまへ。直近1週間（2026年10月27日〜11月2日）に公開された、プラグインの脆弱性情報をお届けします。

今週、脆弱性（セキュリティ上の弱点）が見つかったプラグインは合計100件です。そのうち34件は、5万件以上のサイトで使われている人気プラグインです。

今週は、お問い合わせフォームのプラグインに問題が集中しました。Ninja Forms、Gravity Forms、Formidable Forms、Forminator Forms、Everest Forms、そして国産のMW WP Formと、主要なフォームプラグインが軒並み名を連ねています。フォームは、ログインしていない第三者からの入力を受け付ける入口です。また、お客様の名前やメールアドレスといった個人情報を預かる場所でもあります。狙われた場合、サイトの改ざんだけでなく情報漏えいにつながりやすいのが特徴です。

このほか、SEOプラグイン（All in One SEO、SEOPress）や、高速化プラグイン（W3 Total Cache、LiteSpeed Cache）といった、国内でも導入率の高いプラグインにも問題が見つかっています。

今週の注目プラグインは、200万件以上のサイトで使われるSEOプラグイン「All in One SEO」と、国内で広く使われているフォームプラグイン「MW WP Form」の2つです。どちらも、ログインしていない第三者が、本来は見えないはずの情報を取り出せるという共通点があります。

「今、WordPressを使っていて心配」「自分のサイトがWordPressかわからない」「他社が作ったWordPressなのでセキュリティ診断断られた・・・」そんなご相談も無料で承ります。
どんなご相談も気兼ねなくお尋ねください。

Web制作のご相談は株式会社ジオコードへ

今週のサマリー

※後述の注目プラグインの表にある「危険度」は、CVSS（脆弱性の深刻さを10点満点で示す国際的な基準）の値です。「管理番号」は、CVE（脆弱性ごとに付けられる世界共通の番号）を指します。

項目	件数
脆弱性検出プラグイン総数	100件
要緊急確認（利用サイト数5万件以上）	34件
その他の脆弱性検出プラグイン	66件

要緊急確認：利用サイト数5万件以上のプラグイン

以下は、多くのサイトで使われているプラグインです。お使いのものがあれば、早めに最新バージョンへアップデートしてください。

「今、WordPressを使っていて心配」「自分のサイトがWordPressかわからない」「他社が作ったWordPressなのでセキュリティ診断断られた・・・」そんなご相談も無料で承ります。
どんなご相談も気兼ねなくお尋ねください。

Web制作のご相談は株式会社ジオコードへ

• Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder
• Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery
• Germanized for WooCommerce
• All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Insights)
• Booking for Appointments and Events Calendar – Amelia
• WP Activity Log
• Wp Social Login and Register Social Counter
• Redux Framework
• SEOPress – AI SEO Plugin & On-site SEO
• Perfect Images: Regenerate Thumbnails, Image Sizes, WebP & AVIF
• Hustle – Email Marketing, Lead Generation, Optins, Popups
• PDF Invoices & Packing Slips for WooCommerce
• Product Filter for WooCommerce by WBW
• W3 Total Cache
• SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments
• Seraphinite Accelerator
• Relevanssi – A Better Search
• Popup Builder – Create highly converting, mobile friendly marketing popups.
• Forminator Forms – Contact Form, Payment Form & Custom Form Builder
• Ad Inserter – Ad Manager & AdSense Ads
• Essential Addons for Elementor – Popular Elementor Templates & Widgets
• Advanced Custom Fields: Extended
• Spectra Legacy – Gutenberg Blocks
• Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder
• Gravity Forms
• AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini
• Export and Import Users and Customers
• MW WP Form
• Meta Box – A Framework for Dynamic Websites
• Media Library Assistant
• HT Mega Addons for Elementor – Elementor Widgets & Template Builder
• LiteSpeed Cache
• Greenshift – animation and page builder blocks
• Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI

今週の注目プラグイン（1）All in One SEO

項目	内容
どんなプラグイン？	検索エンジン対策（SEO）の設定をまとめて行える、世界最大級のSEOプラグイン。通称「AIOSEO」
利用サイト数	200万件以上
危険度	5.3／10（中程度）
対象のバージョン	5.0.3以前
修正済みバージョン	5.0.4（2026年10月22日公開。脆弱性の詳細は10月31日に公表）
攻撃の条件	ログイン不要。サイト内検索が使える状態であれば、細工したURLにアクセスするだけで成立
実際の被害	本稿執筆時点で、悪用が確認されたという報告は見当たりません
管理番号	CVE-2026-109367
参照元	Wordfence 脆弱性データベース、CVEレコード、WordPress.org（All in One SEO 変更履歴）

何が問題なの？

All in One SEOには、ページのタイトルなどに「#custom_field」のような特別な書き方（スマートタグ）を入れると、投稿の情報を自動で差し込んでくれる機能があります。たとえばカスタムフィールド（投稿ごとに自由に保存できる追加情報）の値を、タイトルに表示するといった使い方です。

今回の問題は、サイト内検索で入力された言葉にこの特別な書き方が含まれていても、そのまま差し込み処理をしてしまうというものでした。流れは次のとおりです。

1. 第三者が、検索窓に入れる言葉（URLの「s=」の部分）に、情報を差し込む特別な書き方を仕込みます。
2. All in One SEOが検索結果ページのタイトルや、検索エンジンにページの内容を伝えるためのデータ（構造化データ。JSON-LDという形式）を作るとき、この書き方を本物の命令と誤認します。
3. その結果、公開されていないはずのカスタムフィールドの値が、検索結果ページのタイトルや構造化データの中にそのまま書き出されます。

カスタムフィールドには、外部サービスと連携するためのAPIキー（利用を許可された相手だけが持つ合言葉）や、社内向けのメモ、非公開の設定値などが保存されていることがあります。ログインしていない第三者が、細工したURLにアクセスするだけで、こうした情報を読み取れる状態でした。なお、取り出すカスタムフィールドの名前は第三者が指定する必要がありますが、よく使われる名前は推測されやすい点に注意が必要です。

サイトの改ざんやページの乗っ取りに直結する種類ではありません。ただし、漏れた情報が外部サービスの認証情報であれば、そのサービス側で不正利用されるという二次被害につながるおそれがあります。

10月はAll in One SEOの脆弱性が相次いでいます

All in One SEOでは、10月初めにも次の2件が公表されています。

• 5.0.2で修正：管理画面の「SEOプレビュー」を開いた担当者のブラウザで、悪いプログラムが動く問題（CVE-2026-85492）
• 5.0.2.1で修正：ログインしていない第三者が、検索を経由して任意のショートコード（[ ]で囲んだ短い記述で機能を呼び出す仕組み）を実行できる問題（CVE-2026-100152。検索結果ページにパンくずリスト（ページの階層を示すナビゲーション）を表示している場合に影響）

いずれも、検索語やURLなど外部から渡される値の扱いに起因するもので、今回の問題と根が近いといえます。5.0.4にアップデートすれば、この3件すべてが解消します。

今すぐやること

1. プラグインをバージョン5.0.4以上にアップデートしてください。Pro版をお使いの場合は、そちらも最新版にそろえてください。
2. カスタムフィールドに、APIキーやパスワード、社内メモなど外部に出てはいけない情報を保存していないか確認してください。該当するものがあれば、保存場所の見直しを検討してください。
3. アップデート前からAPIキーなどを保存していた場合は、念のため該当サービス側でキーを再発行することをおすすめします。
4. アップデート後は、キャッシュプラグインやCDN（配信を速くするサービス）に残った古いページ（キャッシュ）を削除してください。

補足： 5.0.4の変更履歴には、この修正がセキュリティ修正としては明記されていません。「変更履歴に書いていないから安全」とは限らない例です。お使いのバージョンが5.0.4以上になっているか、バージョン番号で確認してください。

今週の注目プラグイン（2）MW WP Form

項目	内容
どんなプラグイン？	ショートコード（[ ]で囲んだ短い記述）でお問い合わせフォームを作れる国産プラグイン。確認画面や、問い合わせ内容のデータベース保存に対応
利用サイト数	20万件以上
危険度	5.3／10（中程度）
対象のバージョン	5.1.7以前
修正済みバージョン	5.1.8（2026年9月下旬公開。脆弱性の詳細は10月28日に公表）
攻撃の条件	ログイン不要。ただし、問い合わせデータをデータベースに保存しているサイトで、「URL引数を有効にする」設定（URLに付けた値をフォームに差し込む機能）がオンのフォームがある場合のみ
実際の被害	本稿執筆時点で、悪用が確認されたという報告は見当たりません
管理番号	CVE-2026-92086
参照元	Wordfence 脆弱性データベース、WPScan 脆弱性データベース、CVEレコード、WordPress.org（MW WP Form 変更履歴）

何が問題なの？

MW WP Formには、フォームを設置したページのURLに「post_id=○○」と付けることで、その番号の投稿の情報（タイトルなど）をフォームに差し込める機能があります。「URL引数を有効にする」という設定でオンになる、公式マニュアルにも載っている通常の機能です。

今回の問題は、この「post_id」に、他の人が送った問い合わせデータの番号を指定できてしまうというものでした。MW WP Formでは、問い合わせの内容をデータベースに保存する設定にしていると、1件ごとに「投稿」として保存されます。この保存データも番号で管理されているため、次のような流れで情報が取り出せます。

1. 第三者が、フォームのURLに「post_id=」を付け、番号を1、2、3……と順番に変えながらアクセスします。
2. 本来は投稿の情報だけを差し込むはずの処理が、問い合わせの保存データも区別せずに差し込んでしまいます。
3. その結果、他の人が送った名前、メールアドレス、問い合わせ本文が、ページ上に表示されます。

つまり、過去にフォームから送られたお客様の個人情報を、ログインせずに次々と抜き出せる状態でした。番号を順に変えるだけなので、自動化しやすく、件数が多いほど被害も大きくなる種類の問題です。

開発終了のプラグインであることにご注意ください

MW WP Formは、現在は新機能の開発が終了し、最低限のメンテナンスのみが行われています。動作確認済みのWordPressバージョンも6.4系で止まっており、公式ディレクトリにも「最新の3つのメジャーバージョンでテストされていません」という表示が出ています。

2026年に入ってからも、次のように短い間隔でセキュリティ修正が続いています。

• 4月：サーバー上のファイルを勝手に移動される問題（2件）
• 5月：「post_id」経由の情報漏えい（今回と同じ系統。修正版5.1.3は4月27日公開）
• 6月・8月・10月：スクリプト埋め込み（ページに不正なプログラムを仕込まれる問題。10月分はCVE-2026-96567）。8月には任意のショートコードを実行できる問題も公表

今回の問題は、5月に修正された問題と同じ「post_id」の扱いが再び指摘された形です。

今すぐ使えなくなるわけではありません。ただ、今後も問題が見つかる可能性は否定できず、メンテナンスのみのプラグインに頼り続けるリスクは年々大きくなります。次のサイト改修のタイミングで、別のフォームプラグインへの移行を計画されることをおすすめします。

今すぐやること

1. プラグインをバージョン5.1.8以上にアップデートしてください。5.1.8には、10月初めに公表された別の問題（CVE-2026-96567）の修正も含まれています。
2. 各フォームの設定画面で「URL引数を有効にする」がオンになっていないか確認し、使っていなければオフにしてください。
3. 問い合わせデータをデータベースに保存している場合は、保存の必要が本当にあるかを見直してください。メールで受け取るだけで足りるなら、保存をオフにするか、古いデータを削除することで、万一のときの被害を小さくできます。
4. サーバーのアクセスログで、「post_id=」の番号を連続して変えたアクセスがないか確認してください。見つかった場合は、個人情報が閲覧された可能性を前提に対応を検討してください。
5. 中長期的には、開発が続いている別のフォームプラグインへの移行をご検討ください。

補足： 5.1.7は、公開手続きの不備により自動更新では配信されませんでした。そのため多くのサイトは5.1.6以前のままになっており、5.1.8がその再公開版にあたります。お使いのバージョンが5.1.7以前と表示されている場合は、必ず5.1.8へアップデートしてください。

その他の脆弱性検出プラグイン一覧

以下の66件にも、今週新たに脆弱性が報告されています。お使いのものがないか確認してください。

• Web 2.0 Directory plugin for WordPress
• FlexStock – Product Stock Sync with Google Sheets for WooCommerce
• WooCommerce Extra Product Options Pro
• Debug Log Manager – Conveniently Monitor and Inspect Errors
• WP Directory Kit
• GeoDirectory – WP Business Directory Plugin and Classified Listings Directory
• BuddyBoss Platform
• SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications
• Smart Post – Post Grid, Post Carousel, Post Slider Gutenberg Blocks for Blog & News
• Newsletters
• FeedWordPress
• Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin for WordPress
• Co-Authors, Multiple Authors and Guest Authors in an Author Box with PublishPress Authors
• User Frontend – Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission
• Content Pilot – Autoblogging & Affiliate Marketing Suite
• Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker
• WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps
• Uncanny Toolkit for LearnDash
• Rox Appointment Booking – Event, Calendar & Appointment Scheduling
• WPO365 | MICROSOFT 365 GRAPH MAILER
• WP2LEADS | WordPress und KlickTipp einfach verbinden – WooCommerce und KlickTipp einfach verbinden
• Shield Security – Smart Bot Blocking, Brute-Force Login Protection & File Scanning
• Mail logging & Catcher
• FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce
• Discussion Board – WordPress Forum Plugin
• WP Job Portal – AI-Powered Recruitment System for Company or Job Board website
• WP Booking System – Booking Calendar
• Revopic – Photo Reviews for WooCommerce
• Webmention
• VikRentCar Car Rental Management System
• UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WP
• User Submitted Posts – Enable Users to Submit Posts from the Front End
• Welcart e-Commerce
• ThirstyAffiliates – Affiliate Links, Link Branding, Link Tracking & Marketing Plugin
• Shipping Zones by Drawing for WooCommerce
• PDF Invoice for WooCommerce + Drag and Drop Template Builder
• PPWP – Password Protect Pages
• Meow Lightbox
• Meow Gallery
• Like Button Rating ♥ LikeBtn
• Majestic Support – The Leading-Edge Help Desk & Customer Support Plugin
• FV Flowplayer Video Player
• Independent Analytics Pro
• Email Templates Customizer and Designer for WordPress and WooCommerce
• CP Multi View Events Calendar
• easy.jobs – AI powered Job Listing, Job Board, Career Page, Recruitment & Hiring Solution
• ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce
• JS Help Desk – AI-Powered Support & Ticketing System
• Photo Engine (Media Organizer & Lightroom)
• SEO Engine – Smart SEO with AI, Schema & Redirection for WordPress
• Themify Builder
• Easy Digital Downloads – eCommerce Payments and Subscriptions made easy
• OpenStation – Admin Dashboard Notes, Custom Dashboard, AI Assistant & PWA
• Ak Framework
• Database Cleaner: Cleanup, Optimization & Repair
• Food Store – Online Food Delivery & Pickup
• Page and Post Restriction
• Content Egg – Affiliate Product Importer & Price Comparison
• Cool FormKit Lite – Advanced Form Builder for Elementor
• Events Made Easy
• JoomSport – for Sports: Team & League, Football, Hockey & more
• NewsmanApp
• NEX-Forms – Ultimate Forms Plugin for WordPress
• Mapster WP Maps
• RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator
• Extensions for Leaflet Map

運用担当者様へのお願い

定期的な対策チェックリスト

• WordPress本体・プラグイン・テーマを常に最新バージョンにアップデートする
• 使用していないプラグイン・テーマは削除する
• 開発が終了したプラグインを使っていないか確認し、移行の計画を立てる
• 管理画面へのアクセス制限（接続できる場所の制限や、2段階認証など）を設定する
• 定期的にバックアップを取得し、復元手順を確認しておく
• WAF（Web Application Firewall。不正な通信を遮断する仕組み）の導入を検討する
• フォームで受け取った個人情報を、必要以上に長くサイト内に保存していないか見直す

脆弱性は毎週のように見つかります。アップデートの通知が来たら、早めに対応することがサイトを守るいちばんの近道です。

とはいえ、毎週の情報を追いかけてアップデートを続けるのは大変です。特に今週のMW WP Formのように、「アップデートだけでなく、将来の移行まで考えなければならない」プラグインは、判断に迷うことも多いはずです。そうした負担を減らしたい企業様は、ぜひジオコードのWordPressセキュリティプランをご検討ください。アップデート対応から脆弱性の監視、改ざん検知、プラグインの移行相談まで、まとめてサポートいたします。