2026年10月の重大WordPress脆弱性まとめ｜ファイルアップロード・サプライチェーン・PHP本体

Hikosachi 開発チームです。

2026年10月も、WordPress の周辺では重大な脆弱性の公表が続きました。
9月に続く「不正ファイルアップロード」に加え、配布パッケージそのものが改ざんされるサプライチェーン型の事件や、PHP 本体の脆弱性もありました。

日々のニュースまとめでお伝えした内容を振り返ります。

結論から言うと、やるべきことは「WordPress 本体・プラグイン・PHP を最新にし、該当するプラグインを使っている場合は被害の痕跡も確認する」ことです。

10月に注目された主な脆弱性

対象	内容	対応
WordPress 本体	7.1.3（10月6日）：コメント機能の XSS・非公開記事のコメントの漏えいなど 7 件の修正	7.1.3（または利用中の系列の修正版）へ更新
Bricksforge	CVE-2026-85097：未認証の任意ファイルアップロード。10月7日から実際の悪用	3.1.8.10 以降へ更新し、uploads の PHP を確認
Extensions For CF7	CVE-2026-94589：未認証の任意ファイルアップロード（CVSS 9.8）	3.4.6 以降へ更新
Anton Extensions	CVE-2026-104028：未認証の任意ファイルアップロード（CVSS 9.8）	執筆時点で修正版の公表なし。使っている場合は停止を検討
Advanced IP Blocker	CVE-2026-104732：二段階認証のすり抜け（CVSS 9.8）	8.13.14 以降へ更新
User Profile Builder	CVE-2026-15826：管理者としてログインできてしまう認証バイパス（CVSS 9.8）	3.16.5 以降へ更新
Rank Math SEO PRO	CVE-2026-111862：有料版 3.0.123 の配布パッケージが一時的に改ざんされていた	該当すれば侵害を前提に対応（更新だけでは不十分）
PHP 本体	CVE-2026-109618 / 109619（通称 PHP2Shell、CVSS v4.0 9.2）	PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降

9月の The Events Calendar・Elementor Pro などに続き、10月も Bricksforge・Extensions For CF7・Anton Extensions で、ログインせずにファイルを置ける脆弱性が公表されました。

Bricksforge では、修正版の公開の翌日に 63 以上の IP アドレスからの攻撃が観測されています（10月12日・10月27日のニュースまとめ）。

仕組みと被害の確かめ方は、9月のまとめ（2026年9月の重大WordPress脆弱性まとめ）で解説しています。wp-content/uploads/ に見覚えのない PHP ファイルがないかの確認と、uploads での PHP 実行の禁止をおすすめします。

Rank Math SEO PRO の件では、10月15日20:02〜16日07:12（UTC）の間に配布された 3.0.123 の一部が改ざんされていました。

この版を有効にしていた場合、修正版に更新しても、すでに埋め込まれたバックドアは消えません（10月20日のニュースまとめ）。無料版（WordPress.org 配布）は対象外です。

また、駆除しても別の場所から自分を復元する「SC」と呼ばれるバックドアも、Sucuri によって報告されました（10月3日のニュースまとめ）。

乗っ取りが疑われるときは、症状チェックリストと復旧手順も参考にしてください。

10月21日には PHP 本体の重大な脆弱性の修正版が公開されました。
WordPress やプラグインの更新では直らず、サーバーの PHP を新しくする必要があります。

共有レンタルサーバーでは事業者が対応していることが多いですが、PHP 8.1 以前には公式の修正が出ないため、版上げの検討をおすすめします（10月22日のニュースまとめ）。

3.4.0（10月14日）：お使いのプラグイン・テーマを公開済みの脆弱性データベースと照合し、該当があればメールとマイページでお知らせする「脆弱性のお知らせ」を追加（お知らせ）
3.5.0（10月24日）：管理画面とログイン画面を日本国内からだけに制限できる「国の制限」を追加（お知らせ）
3.3.0（10月1日）から、ログインしていない人による PHP ファイルのアップロードなど、攻撃の型での遮断を行っています