WordPressセキュリティ

WordPress本体（コア）の緊急セキュリティリリース「WordPress 7.1.4」についてお届けします。7月以降では7回目となるコアのセキュリティリリースで、更新作業そのものに潜んでいたレースコンディション（処理の実行タイミングのずれを突く脆弱性）を含む計22件の脆弱性が修正されています。

ページビルダー「Bricks」用の拡張プラグイン「Bricksforge」で見つかった、未認証（ログイン不要）で任意のPHPコードを実行できる深刻な脆弱性と、その実際の悪用についてお届けします。悪用に管理者権限どころかログイン自体が不要という点に加え、既に自動化された攻撃が観測されている点が特に重要です。

人気のバックアップ・サイト管理プラグイン「UpdraftPlus」の管理サービス「UpdraftCentral」をめぐる、鍵（連携キー）の窃取によるバックドア設置事案についてお届けします。プラグイン自体のコードに脆弱性があるわけではなく、開発元の管理システムから正当な連携キーが盗まれて悪用されたという点が特徴的な事案です。

セキュリティベンダーSucuriの調査により報告された、駆除が非常に難しい自己修復型のWordPressバックドア「SC」についてお届けします。従来の「怪しいファイルを削除すれば終わり」という対応では通用しない、新しいタイプの侵害手口として注目されています。

WordPressサイトにも直結する重大なニュースとして、PHP本体の緊急パッチ公開（CVE-2026-109618／CVE-2026-109619、通称「PHP2Shell」）をお届けします。WordPress自体のアップデートではなく、サーバー側のPHPランタイムの更新が必要になる点が特に重要です。

直近数日の間に報告された2件の情報をお伝えします。1件目は人気のSEOプラグイン「Rank Math SEO PRO」で発生したサプライチェーン型の侵害事件で、該当バージョンを有効化したサイトはバックドアを埋め込まれた可能性があるため、単純な更新だけでは不十分な点が特に重要です。2件目はマップ表示プラグイン「MapSVG」の複数の脆弱性修正です。

直近数日で新たに公開されたWordPressプラグインの脆弱性情報を2件まとめてお伝えします。いずれも深刻度は中程度（ログイン済みユーザーによる悪用が前提）で、現時点で広範な悪用は報告されていませんが、該当プラグインをお使いの場合は早めのバージョン確認をおすすめします。

ThemeForestで非常に人気の高い商用テーマ「Avada」に同梱されるページビルダープラグイン「Avada (Fusion) Builder」で見つかった、未認証のまま任意のWordPressアクションを呼び出せてしまう脆弱性についてお伝えします。セキュリティ企業Wordfenceが報告したもので、CVSSスコアは9.1（Critical相当）と高く、広く使われているテーマだけに該当環境は確認しておくことをおすすめします。

Bricks Builder向けの拡張プラグイン「Bricksforge」で見つかった、未認証のまま任意のファイルをアップロードできる脆弱性についてお伝えします。セキュリティ企業Patchstackが実際の悪用を観測しており、認証不要のままリモートコード実行（RCE）、つまりサイトの完全な乗っ取りにつながる危険度の高い内容です。該当プラグインをお使いの場合は至急ご確認ください。

フォーム作成プラグイン「Ninja Forms」とWooCommerce向け拡張プラグイン「WPC Product Bundles for WooCommerce」を狙った、管理者権限の乗っ取りにつながる蓄積型XSS（クロスサイトスクリプティング）攻撃についてお伝えします。セキュリティ企業Patchstackが実際の悪用を観測しており、両プラグインを合わせると50万件を超えるサイトが対象となるため、該当プラグインをお使いの場合はご確認ください。