WordPressの人気プラグイン・テーマ5件で重大脆弱性 — 未認証で管理者乗っ取りやRCEのおそれ、修正版へ更新を

WordPressのエコシステムで、5件の重大脆弱性が相次いで公表された。報告したWordfenceとPatchstackによれば、対象は「WPMU DEV Dashboard」「Avada（Fusion Builder併用）」「TranslatePress」「Pods」「GiveWP」で、いずれも未認証の攻撃者が管理者権限の奪取やサーバー上での任意コード実行に至るおそれがある。共通してCVSS基本スコアが9.8〜10.0と評価されている。

本記事では、一次情報であるWordfenceの各ブログ、Patchstackの分析、NVDのCVEレコード、開発元リリースに基づき、影響バージョンと成立条件、修正版を整理する。なお、GiveWPのCVE-2026-82222は本サイトでも2026年8月29日に単独で報じており、本稿では5件の全体像として位置づける。

5件の概要 — 何が起きるのか

対象	CVE	CVSS	起き得ること	影響バージョン（一次情報の記載）
WPMU DEV Dashboard	CVE-2026-76581	9.8	認証バイパスで管理者としてログイン	5.0.1まで
Avada + Fusion Builder	CVE-2026-18431	9.8	任意ファイル書き込みからPHP生成→RCE	Avada 7.16まで かつ Fusion Builder 3.16までが有効な環境
TranslatePress	CVE-2026-19632	9.8	管理者のパスワードリセットURL（平文の鍵を含む）を窃取→乗っ取り	3.3.1まで（自動文字列保存が有効 かつ 対象管理者のロケールが公開中の第二言語の場合に成立）
Pods	CVE-2026-19598	9.8	権限昇格で管理者化／任意ユーザーのパスワード上書き	3.3.9まで（2.8系〜3.3系の各系列が影響、修正は3.3.9.1）
GiveWP	CVE-2026-82222	10.0	PHPオブジェクトインジェクションからRCE	4.16.7.1まで（修正は4.16.7.2）

それぞれの成立条件

**WPMU DEV Dashboard（CVE-2026-76581）**は、サイトがWPMU DEVに接続されHubのシングルサインオン（SSO）が有効、かつ管理者にマッピングされている場合に、未認証の攻撃者がHMACの検証不備を突いて管理者セッションを取得できるとNVDは説明している。影響は5.0.1までで、WordfenceはHMACメッセージ構築の不整合（wdpsso_step1 と wdpsso_step2 での連結方法の差異）を原因として報告している。

**Avada（CVE-2026-18431）**は、Avadaテーマ7.16までとFusion Builder 3.16までが同時に有効な環境で、認可と入力検証の連鎖的な弱点を突いて未認証でファイルを書き込み、攻撃者が制御するPHPを生成してRCEに至る。ThemeFusion製品は100万超の販売実績があり、影響は広い。

**TranslatePress（CVE-2026-19632）**は、trp_get_translations_regular のAJAXアクション経由で、未認証の攻撃者が管理者のパスワードリセットURL（平文のリセット鍵とログイン情報を含む）を引き出せる情報露出である。Wordfenceによれば、対象は3.3.1までで、自動文字列保存が有効かつ対象管理者のプロファイル言語が公開中の第二言語に設定されている場合に成立する。40万サイトが影響すると同社は推計している。

**Pods（CVE-2026-19598）**は、管理画面のAJAXルーターが pods_error() 経由でアクセス制御を一元的に扱う実装に起因し、未認証で権限昇格や任意ユーザーのパスワード上書きが可能になる。NVDは2.8.0〜3.3.9の各系列が影響し、修正は3.3.9.1と記載している。10万サイト規模が影響するとWordfenceは推計している。

**GiveWP（CVE-2026-82222）**は、寄付フローで攻撃者が制御するシリアライズデータを保存し、後の表示時に unserialize することでガジェットチェーンを実行してRCEに至る。Patchstackは「安全でないシリアライズ・サニタイザを信頼し、データベースから読み戻したデータを信頼して非直列化し、開発用ライブラリを本番に同梱してガジェットを提供してしまっている」ことを根本原因として挙げている。WordPress側でユーザー登録を無効化していても give_action=user_register が露出しており、アカウント作成と認証クッキー取得が可能だった。開発元は2026年8月27日に4.16.7.2で硬化し、既存の悪性データの除去も行った。

修正状況と確認方法

各開発元は修正版を公開済みである。NVDと各社の記載によれば、目安は次のとおりである。

• WPMU DEV Dashboard: 5.0.1を超えるバージョンへ更新する
• Avada: 7.16を超えるバージョン かつ Fusion Builderは3.16を超えるバージョンへ更新する
• TranslatePress: 3.3.1を超えるバージョンへ更新する
• Pods: 3.3.9.1へ更新する（3.3.9までが影響）
• GiveWP: 4.16.7.2へ更新する

WordPress管理画面の「プラグイン」および「テーマ」一覧で現在のバージョンを確認し、上記の修正版が適用されているかを点検してほしい。複数サイトを運用している場合は、棚卸しして適用漏れがないかを確認することが重要である。

日本の利用者への影響と留意点

WordPressは国内でも企業サイトやEC、メディアで広く使われており、AvadaやTranslatePress、Pods、GiveWPはいずれも数万〜数十万規模で導入されている。今回の5件は未認証で管理者奪取やRCEに至る深刻度であり、公開後は悪用コードの出現が早まる可能性がある。

GiveWPのように「WordPressの登録を無効化しているから安全」という前提が崩れる連鎖も含まれており、設定だけで防御できると判断しないことが重要である。TranslatePressのように特定の言語設定や機能が有効な場合にのみ成立する脆弱性もあるため、自サイトの構成を正しく把握してほしい。

出典

• Wordfence, “Wordfence Argus Finds Critical Authentication Bypass in WPMU DEV Dashboard Plugin,” 2026年8月28日. https://www.wordfence.com/blog/2026/08/wordfence-argus-finds-critical-authentication-bypass-in-wpmu-dev-dashboard-plugin/
• Wordfence, “Wordfence Argus Finds Complex 6-Step Critical RCE in Avada Theme with 1 Million Sales,” 2026年8月28日. https://www.wordfence.com/blog/2026/08/wordfence-argus-finds-complex-6-step-critical-rce-in-avada-theme-with-1-million-sales/
• Wordfence, “400,000 WordPress Sites Affected by Account Takeover Vulnerability in TranslatePress WordPress Plugin,” 2026年8月28日. https://www.wordfence.com/blog/2026/08/400000-wordpress-sites-affected-by-account-takeover-vulnerability-in-translatepress-wordpress-plugin/
• Wordfence, “100,000 WordPress Sites Affected by Privilege Escalation Vulnerability in Pods WordPress Plugin,” 2026年8月28日. https://www.wordfence.com/blog/2026/08/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-pods-wordpress-plugin/
• Patchstack, “Unauthenticated PHP Object Injection to Remote Code Execution on GiveWP,” 2026年8月28日. https://patchstack.com/articles/unauthenticated-php-object-injection-to-remote-code-execution-on-givewp/
• NVD, CVE-2026-76581 / CVE-2026-18431 / CVE-2026-19632 / CVE-2026-19598 / CVE-2026-82222. https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-76581 ほか

参考 — 各社が公表している対応

各社は影響を受けるバージョンと修正版の情報を公開し、更新を呼びかけている。GiveWPの開発元（StellarWP）は4.16.7.2で寄付フローにおけるシリアライズデータの取り扱いを硬化し、既存の悪性ペイロードの除去を実施したとGitHubリリースで説明している。WPMU DEV、ThemeFusion、TranslatePress、Podsの各開発元も修正版で脆弱性を解消しているため、一次情報の指示に従い速やかに更新してほしい。