WordPressセキュリティニュースまとめ（2026年9月14日）

Hikosachi 開発チームです。

2026年9月12日（現地時間）に登録・公表されたWordPress関連の脆弱性の中から、前回（9月13日付）のまとめでは取り上げなかった、CVSSスコアの高い重大な脆弱性が新たに確認されています。

特に学習管理システム（LMS）プラグイン「Masteriyo LMS」に見つかった脆弱性はCVSSスコア9.9（Critical）と非常に深刻です。

以下、主なものを対象プラグイン・バージョン・対応策とともにご紹介します。

1. Masteriyo LMS：安全でない逆シリアル化によるリモートコード実行（CVE-2026-82845）
2. MemberPress Corporate Accounts：認証済みユーザーによる権限昇格（CVE-2026-15451）
3. その他、同時期に公表された注意すべき脆弱性（CVSS 8.0以上）
確認した情報源

1. Masteriyo LMS：安全でない逆シリアル化によるリモートコード実行（CVE-2026-82845）

コース作成・クイズ・受講証明書の発行に対応する学習管理システム（LMS）プラグイン「Masteriyo LMS」の3.4.1未満のバージョンに、CVSSスコア9.9（Critical）の重大な脆弱性が公表されました。ユーザーが指定したメタデータの値が、読み出し時に検証なしで逆シリアル化される実装不備が原因で、購読者（Subscriber）などの最小権限を持つログイン済みユーザーが任意のPHPオブジェクトを注入し、サーバー上で任意のコードを書き込み・実行できるおそれがあります。

弱い形態としては、アカウントなしでも任意ファイル書き込みが可能になる場合があるとも報告されています。

影響を受けるバージョン：Masteriyo LMS 3.4.1未満対応策：修正版 3.4.1 以降へ直ちにアップデートしてください。会員登録・コース受講を受け付けているサイトでは特に優先度を上げて対応することをおすすめします。

参照元：OffSeq Threat Radar「CVE-2026-82845」 / Strix.ai「CVE-2026-82845」

2. MemberPress Corporate Accounts：認証済みユーザーによる権限昇格（CVE-2026-15451）

会員サイト構築プラグイン「MemberPress」の拡張機能で、企業・法人向けにサブアカウントを発行できる「Corporate Accounts」アドオンの1.5.39以下のバージョンに、CVSSスコア8.8（High）の権限昇格の脆弱性が公表されました。

サブアカウントを追加する `add_sub_account_user` 関数が、ユーザー入力の配列をそのまま `wp_insert_user` に渡してしまい、role（権限）やID等の危険なキーを除外していないことが原因です。

企業アカウントの保有者（サブスクライバー以上の権限）が、この不備を悪用して管理者アカウントを作成したり、既存の管理者のメールアドレスを書き換えたりできるおそれがあります。

影響を受けるバージョン：MemberPress Corporate Accounts 1.5.39以下対応策：ベンダーの提供する修正版へのアップデートを確認してください（修正版バージョンは執筆時点の情報源に明記がないため、MemberPress管理画面またはベンダーサイトで最新版をご確認ください）。企業向けサブアカウント機能を利用しているサイトは優先的にご確認ください。

参照元：Strix.ai「CVE-2026-15451」 / OffSeq Threat Radar「CVE-2026-15451」