Hikosachi 開発チームです。
今回は、直近数日で新たに公開されたWordPressプラグインの脆弱性情報を2件まとめてお伝えします。いずれも深刻度は中程度（ログイン済みユーザーによる悪用が前提）で、現時点で広範な悪用は報告されていませんが、該当プラグインをお使いの場合は早めのバージョン確認をおすすめします。
今回のポイント
- 予約投稿・コンテンツ失効管理プラグイン「PublishPress Future」バージョン4.10.5以前に、投稿者（Contributor）権限以上のユーザーがスクリプトを埋め込める保存型XSS脆弱性（CVE-2026-105261）。修正版は4.10.6。
- 「Easy HTTPS Redirection (SSL)」プラグインバージョン2.0.1以前に、一部のAJAX処理で権限チェックが欠けている脆弱性（CVE-2026-104643）。ログイン済みであれば低権限ユーザー（購読者等）でも悪用可能。修正版は2.0.2。
- 両脆弱性とも2026年10月14日・15日にWPScanによってCVE登録されたばかりの新しい情報で、本記事執筆時点でCVSSスコアの確定や実際の悪用報告はありません。
1. PublishPress Future「CVE-2026-105261」の保存型XSS脆弱性
「PublishPress Future」は、投稿の自動失効・予定変更（公開終了日時の設定やステータス変更のスケジューリングなど）を行えるプラグインです。
バージョン4.10.6より前のバージョンでは、プラグインが提供するショートコードの属性値に対して、安全なHTML要素のみを許可する検証（allowlist）が行われておらず、要素内のテキストも適切にエスケープされていませんでした。
そのため、投稿者（Contributor）以上の権限を持つユーザーであれば、記事内に悪意のあるスクリプトを埋め込んで保存でき、そのコンテンツを編集者や管理者が閲覧した際にスクリプトが実行されてしまう可能性があります。
なお、同プラグインでは[futureaction]ショートコードの別の属性を使った同種の脆弱性（CVE-2026-5247）が過去にも報告されており、ショートコード属性の扱いが繰り返し課題となっています。
対応策
PublishPress Futureをお使いの場合は、バージョン4.10.6以降へ更新してください。
複数人でブログ投稿を管理している場合（投稿者権限を外部ライターに付与している等）は特に優先度を高めに確認することをおすすめします。
2. Easy HTTPS Redirection (SSL)「CVE-2026-104643」の権限チェック不備
「Easy HTTPS Redirection (SSL)」は、サイト内のHTTPリンクをHTTPSへ一括変換するためのプラグインです。
バージョン2.0.2より前のバージョンでは、サイト内のURLをスキャンする機能に関連する一部のAJAX処理で、本来必要な権限チェックが行われていませんでした。
この結果、管理者がスキャン機能を一度実行していれば、購読者（Subscriber）のような低権限のログイン済みユーザーであっても、非公開記事や下書き、サイトオプションなどからスキャナーが収集したURL情報を読み取れたり、サイト全体のURL書き換え処理を自身で再実行できてしまう可能性があります。
対応策
Easy HTTPS Redirection (SSL)をお使いの場合は、バージョン2.0.2以降へ更新してください。
会員サイトなど外部ユーザーに購読者権限を付与している場合は、念のため非公開コンテンツのURLが外部に漏れていないかも確認しておくと安心です。
まとめ
今回ご紹介した2件は、いずれも「ログイン済みユーザー」による悪用が前提のため、未認証の攻撃と比べると深刻度はやや低めですが、複数人でサイトを運用している場合や会員向けサイトでは実際に悪用可能な条件が揃いやすいため注意が必要です。
該当プラグインをお使いの場合は、まずバージョンの確認と更新をお願いします。
参照元
- WPScan / NVD: CVE-2026-105261（PublishPress Future）
- WPScan / NVD: CVE-2026-104643（Easy HTTPS Redirection (SSL)）
サイトの挙動に不安がある場合や、ご自身での調査・対応が難しい場合は、アイネクシオ合同会社までお気軽にご相談ください。
