Hikosachi 開発チームです。
2026年9月12日（現地時間）、WordPressの人気プラグイン複数に対して、未認証の攻撃者が悪用できる「重大（Critical）」レベルの脆弱性がまとめて公表されました。
特に月間アクティブインストール数60万件を超える「The Events Calendar」に、未認証のリモートコード実行（RCE）につながる脆弱性が2件同時に見つかっている点は影響範囲が大きく、注意が必要です。
以下、主なものを対象プラグイン・バージョン・対応策とともにご紹介します。
1. The Events Calendar：未認証RCEの脆弱性が2件（CVE-2026-78006 / CVE-2026-78159）
イベント管理・予約管理プラグインとして広く使われている「The Events Calendar」（アクティブインストール数60万件以上）に、未認証の攻撃者がリモートでコードを実行できる脆弱性が2件公表されました。
いずれもCVSSスコアは9.8（Critical）です。
- CVE-2026-78006：
is_safe_widget_instance関数における安全でないデシリアライズ処理が原因。6.17.4以前のバージョンが対象。 - CVE-2026-78159：
Element_Classes::parse_array()関数のウィジェットクラス検証不備が原因（Wordfenceが報告）。6.17.3以前のバージョンが対象。 - 影響を受けるバージョン：6.17.4以前（CVE-2026-78006）／6.17.3以前（CVE-2026-78159）
- 対応策：開発元は9月10日付で修正版 6.17.4.1 を公開済みです。直ちに最新版へアップデートしてください。
参照元：OffSeq Threat Radar「CVE-2026-78006」 / Vulners「CVE-2026-78159」 / Shenlong CVE Platform「the-events-calendar 6.17.4.1 security patch advisory」
2. Everest Forms：未認証PHPオブジェクトインジェクション（CVE-2026-62103）
フォーム作成プラグイン「Everest Forms」の3.6.0以前のバージョンに、未認証のPHPオブジェクトインジェクション脆弱性（CVE-2026-62103、CVSS 9.8）が公表されました。
デシリアライズ処理の不備が原因で、条件が揃うとリモートコード実行につながるおそれがあります。
- 影響を受けるバージョン：Everest Forms 3.6.0 以前
- 対応策：修正版 3.6.1 以降へ直ちにアップデート
参照元：Vulners「CVE-2026-62103」 / OffSeq Threat Radar
3. ThemeREX Addons：未認証PHPオブジェクトインジェクション（CVE-2026-62105）
多くのThemeForest系テーマで同梱されているアドオンプラグイン「ThemeREX Addons」の2.45.0未満のバージョンに、未認証のPHPオブジェクトインジェクション脆弱性（CVE-2026-62105、CVSS 9.8）が公表されました。
テーマに同梱される形で気づかないうちに古いバージョンを使い続けているケースがあるため注意が必要です。
- 影響を受けるバージョン：ThemeREX Addons 2.45.0 未満
- 対応策：修正版 2.45.0 以降へ直ちにアップデート
4. Tutor LMS：認証済みユーザーによるPHPオブジェクトインジェクション（CVE-2026-78175）
学習管理システム（LMS）プラグイン「Tutor LMS」の4.0.7以前のバージョンに、購読者（Subscriber）権限以上でログインしたユーザーがPHPオブジェクトインジェクションを介してリモートコード実行に至る可能性がある脆弱性（CVE-2026-78175、CVSS 8.8）が公表されました。
会員登録を受け付けているサイトでは特に注意してください。
- 影響を受けるバージョン：Tutor LMS 4.0.7 以前
- 対応策：修正版 4.0.8 以降へ直ちにアップデート
参照元：Shenlong CVE Platform「Tutor LMS 4.0.7: Authenticated PHP Object Injection leads to RCE」
5. その他、同日公表された注意すべき脆弱性（CVSS 8.0以上）
2026年9月12日には、上記以外にも以下のような重大な脆弱性が複数まとめて公表されています。
いずれも詳細は各CVE番号でご確認のうえ、該当プラグインをお使いの場合は最新版へのアップデートをご検討ください。
- teddy-bear-customize-addon：ファイルアップロード検証不備によるRCE（CVE-2026-14560、CVSS 10）、認証回避（CVE-2026-14559、CVSS 9.8）
- Advanced Customized Prompts：認証回避により任意ユーザーとしてログイン可能（CVE-2026-14563、CVSS 9.8）
- Masteriyo LMS：未認証PHPオブジェクトインジェクション（CVE-2026-62107、CVSS 8.8）
- Gato GraphQL：購読者権限からの権限昇格（CVE-2026-62102、CVSS 8.8）
- SMS Alert Order Notifications：購読者権限からの管理者権限昇格（CVE-2026-62106、CVSS 8.8）
- Gutenverse News：コメント欄からの未認証ストアド型XSS（CVE-2026-85677、CVSS 8.8）
確認した情報源
- CVE Brief（2026年9月12日分アーカイブ）
- Vulners.com / OffSeq Threat Radar / Strix.ai（Wordfence・Patchstack等の脆弱性情報の集約）
- Shenlong CVE Platform
- Fused.com WordPress Vulnerabilities Database
いずれも「該当プラグインを最新版へアップデートする」ことが基本的な対応策です。特にThe Events Calendar・Everest Forms・ThemeREX Addonsは未認証のまま重大な被害につながる可能性があるため、ご利用中のサイトで該当プラグインを使用している場合は、バージョンを確認のうえ早急な更新をおすすめします。
Hikosachiでは引き続き不審なアクセスの監視を行い、検知情報を共有してまいります。
