Hikosachi 開発チームです。
直近24〜48時間以内に新たに公表された重大なWordPressセキュリティニュース（WordPress本体の緊急パッチや、大規模な不正アクセス・改ざん事例など）は確認できませんでした。
一方で、ここ1週間ほどの間に公表され、本ブログでまだお伝えしていなかった主要プラグインの脆弱性情報が複数ありましたので、今回はそちらをまとめてご紹介します。
1. WooCommerce のSQLインジェクション脆弱性（CVE-2026-57777）
2026年9月4日、ECプラグイン「WooCommerce」の 10.9.4 以前のバージョンにSQLインジェクションの脆弱性（CVE-2026-57777、CVSS 7.6）が報告されました。
Shop Manager権限を持つユーザーがデータベースを直接操作できてしまう可能性があり、情報窃取につながるおそれがあります。
- 影響を受けるバージョン：WooCommerce 10.9.4 以前
- 対応策：11.0 以降へ直ちにアップデート
参照元：Patchstack「WordPress WooCommerce Plugin <= 10.9.4 – SQL Injection」
2. LiteSpeed Cache のSSRF脆弱性（CVE-2026-84761）
2026年9月2日、キャッシュプラグイン「LiteSpeed Cache（LSCWP）」の 7.9.1 未満のバージョンにサーバーサイドリクエストフォージェリ（SSRF）の脆弱性（CVE-2026-84761）が報告されました。
開発元によれば、QUIC.cloud CDN を利用しており、かつオリジンサーバー側で実際の訪問者IPを正しく復元できていないサイトが対象とのことです。
- 影響を受けるバージョン：LiteSpeed Cache 7.9.1 未満
- 対応策：7.9.1 以降へ直ちにアップデート（該当条件に当てはまらないサイトへの影響はないとされていますが、念のため最新版への更新を推奨します）
参照元：LiteSpeed Blog「Security Update for LSCWP（CVE-2026-84761）」
3. Really Simple Security（Really Simple SSL）の認証回避脆弱性（CVE-2026-84777）
2026年9月上旬、SSL/セキュリティ設定プラグイン「Really Simple Security（旧称 Really Simple SSL）」に認証回避（Authentication Bypass）の脆弱性（CVE-2026-84777、CVSS 7.4）が報告されました。
未認証の攻撃者が特定の経路を使ってアクセス制御を回避できる可能性があるとされています。
- 影響を受けるバージョン：9.8.0 以前（各種データベースでの表記）
- 対応策：プラグインを最新版へアップデートし、管理画面で更新の有無を確認してください
参照元：CVE.org「CVE-2026-84777」 / OffSeq Threat Radar
確認した情報源
- Patchstack Database / Articles
- LiteSpeed 公式ブログ
- CVE.org / OpenCVE / OffSeq Threat Radar
- Wordfence Blog（本日時点で新規の重大発表なし）
- make.wordpress.org/security（本日時点で新規の重大発表なし）
いずれのケースも対応策は「該当プラグインを最新版へアップデートする」ことです。
ご利用中のサイトで WooCommerce、LiteSpeed Cache、Really Simple Security のいずれかを使用している場合は、バージョンをご確認のうえ早めの更新をご検討ください。
Hikosachi では引き続き不審なアクセスの監視を行い、検知情報を共有してまいります。
