Hikosachi 開発チームです。
今回は、直近で公表されたWordPress関連の重大な脆弱性2件に加えて、WordPress.org自体のセキュリティ体制強化として注目されている「プラグイン更新の自動セキュリティレビュー」の話題を取り上げます。
CVEの内容だけでなく、エコシステム全体の防御力向上に関わる動きなので、サイト運営者・制作会社の方はぜひご一読ください。
1. WordPress.org、プラグイン更新の自動セキュリティレビューを本格運用
WordPress.orgのプラグインチームは2026年9月9日、公式ブログ「Make WordPress Plugins」にて、プラグインの新規リリース（更新版を含む）に対する自動セキュリティレビューの仕組みを発表しました。この件はThe Hacker News（9月14日付）をはじめ複数のセキュリティメディアでも取り上げられており、直近の関心が高いトピックです。
仕組みとしては、2026年6月5日から導入されている「クールダウン期間（現在6時間）」の間に、複数のAIモデルとJetpack Scanを組み合わせてコードの変更点を分析し、セキュリティスコアの高いリリース（悪意あるコードや重大な脆弱性の疑いがあるもの）はWordPress.orgの更新API経由での配信を自動的にブロックするというものです。ブロックされた開発者にはメールで通知され、問題を修正した新バージョンを再リリースすることでレビューを再開できます。
実績として、2026年7月28日には約20,000件のアクティブインストールを持つプラグインに仕込まれたバックドアを、公開から26分以内に検出・ブロックした事例が紹介されています。サプライチェーン型の攻撃（正規プラグインの乗っ取りや悪意ある更新の配布）が増えている中、この仕組みは重要な追加の防御層と言えます。ただし既存の脆弱なバージョンや、レビュー対象外の経路で配布されるコードまでは防げないため、引き続きプラグインの定期的なアップデートは必要です。
参照元：Make WordPress Plugins「Automated security review for plugin releases」（2026年9月9日） / The Hacker News「WordPress Adds Automated Plugin Reviews to Block High-Risk Updates Before Distribution」（2026年9月14日） / Help Net Security（2026年9月10日）
2. CryptoPayment Gateway：認可チェック不備によるCVSS10.0の重大な脆弱性（CVE-2026-81648）
暗号資産決済用プラグイン「CryptoPayment Gateway」のバージョン1.2.1〜1.2.2に、CVSSスコア10.0（Critical、最高値）の脆弱性が公表されました（2026年9月13日公表、9月14日更新）。
原因はAJAXエンドポイントに認可チェックが実装されていないことで、認証されていない第三者でも以下のような操作が可能になるおそれがあります。
- サーバー上の任意ファイルの削除
- 決済ゲートウェイ設定の書き換え
- 保存されているウォレット認証情報の平文での取得
影響を受けるバージョン：CryptoPayment Gateway 1.2.1〜1.2.2 対応策：執筆時点で公式の修正版バージョンは情報源上確認できていません。該当プラグインをご利用の場合は、ベンダーの最新情報を確認のうえ、修正版が出るまでプラグインの無効化も含めてご検討ください。
決済・ウォレット情報を扱うプラグインのため、影響が大きい点にご注意ください。
参照元：OffSeq Threat Radar「CVE-2026-81648」 / Strix.ai「CVE-2026-81648」 / CVE Brief（2026年9月14日分アーカイブ）
3. Quentn WP：未認証SQLインジェクションの脆弱性（CVE-2026-84068）
マーケティングオートメーション連携プラグイン「Quentn WP」のバージョン1.2.13以上1.2.15未満に、CVSSスコア8.6（High）のSQLインジェクション脆弱性が公表されました（2026年9月9日公表）。
リクエストパラメータが準備されたSQLクエリに渡される前に適切にエスケープされていないことが原因で、認証されていない攻撃者がデータベースから任意のデータを抽出できるおそれがあります。
影響を受けるバージョン：Quentn WP 1.2.13以上1.2.15未満 対応策：修正版 1.2.15 以降へ速やかにアップデートしてください。
参照元：OffSeq Threat Radar「CVE-2026-84068」 / Vulners（Patchstack公表情報の集約）
まとめ
今回ご紹介したCryptoPayment Gateway・Quentn WPとも、該当プラグインをお使いのサイトは優先的にご確認ください。また、WordPress.orgの自動セキュリティレビューのような仕組みは心強い一方、あくまで新規配布されるコードへの対策であり、既にインストール済みの脆弱なバージョンを自動で修正してくれるものではありません。
プラグイン・テーマの定期的な棚卸しとアップデートは引き続き欠かせない基本対策です。
Hikosachiでは今後も不審なアクセスの監視を行い、検知情報を共有してまいります。
