WordPressプラグインの脆弱性で何をするか、JVN公表の3件と自動更新

脆弱性の知らせはJVN・WordPress.org・開発元・民間のデータベースに出ます

公的な窓口はJVNとJVN iPediaです。あわせて、使っているプラグインのWordPress.orgのページと開発元のお知らせを見ます。

プラグインの脆弱性（ぜいじゃくせい＝プログラムの弱いところ）の知らせは、1か所にまとまっていません。見るところを先に決めておくと、慌てずにすみます。

出典：JVN「JVNについて」、JVN iPedia、WordPress.org「Alerts and Warnings」、Patchstack。2026年10月26日確認。

WordPress.orgの説明では、閉鎖されたプラグインには「ダウンロードできなくなった」という赤い表示が出ます。60日たつと、閉鎖の理由もあわせて表示されます。

理由が「Security Issue」のときは、安全上の問題が見つかったという意味です。ただし詳しい中身は、WordPress.orgのセキュリティチームの外には出さないとしています。

IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」も、JVN iPediaでの確認を案内しています。まず、使っているソフトを把握することからです。

2026年にJVNが公表したWordPress用プラグインの脆弱性は3件です

Survey Maker・OpenStreetMap・Zoho Mail for WordPressの3件です。JVNはどれも「最新版への更新」を対策にしています。

JVNの一覧で、2026年に題名へ「WordPress用プラグイン」と入った公表は3件です（10月26日時点）。3件とも、JVNは修正版の番号を名指ししていません。対策は「開発者の情報をもとに最新版へ更新」です。

出典：JVN#20049394、JVN#48058823、JVN#24733221（いずれも2026年）。CVEはそれぞれCVE-2026-26370、CVE-2026-33559、CVE-2026-8174。CVSS v4.0はいずれも5.1。

3件の点数（CVSS v3.0）は、10点満点で4.3〜6.1です。それでも、問い合わせフォームや地図など、外から見える場所で使われるプラグインです。

当社の見方では、点数の高さより「自社のサイトに入っているか」を先に確かめるほうが大事です。

本体の脆弱性とは、確かめ方が少し違います

2026年7月22日、IPAはWordPress本体の脆弱性「wp2shell」について注意を呼びかけました。影響は6.9.0〜6.9.4と7.0.0〜7.0.1などで、修正版は6.9.5と7.0.2です。

IPAによると、WordPress.orgは対象の版に強制の自動更新を行いました。それでも環境によっては更新が失敗していることがあるとして、管理画面で版を確かめるよう求めています。

本体は自動で直ることがあります。一方でプラグインは、自動更新を自分で選んでいないと止まったままです。PHPそのものの脆弱性についてはphp2shellで何をするか、PHP修正版8.5.12〜8.2.35とエックスサーバー・コドモンが始めた対策で整理しています。

対応は版の確認、更新、直せないものの停止と削除の順に進めます

まず入っているかと版を確かめます。影響の版なら、バックアップを取ってから更新します。

知らせを見たら、次の順で進めます。最初の2つは数分で終わります。

1. 入っているかを確かめます。管理画面の「プラグイン」で名前を探します。停止中のものも数えます。
2. 版の番号を見ます。プラグイン名の下に版が出ます。JVNの「影響を受ける版」と比べます。
3. 影響の版なら更新します。更新の前に、サイトのバックアップを取ります。
4. 更新できないときは停止します。修正版が出ていない、閉鎖された、といった場合です。
5. 使っていないなら削除します。IPAの20ヶ条も「不要になったアプリケーションも削除」としています。
6. 表示と動きを確かめます。問い合わせフォームや地図など、そのプラグインの画面を開いて見ます。

IPAの20ヶ条は、修正が出たら適用するよう求めています。あわせて、更新で今の機能が動かなくなることがあるので、事前に試すよう書いています。

制作会社に任せている場合は、プラグインの一覧と版を出してもらうのが早道です。自社で管理画面に入れない状態は、それ自体を見直すきっかけになります。

更新のあとは、すでに入られていないかを別に確かめます

知らない管理者、ファイルの変更、ログの不審な接続、更新に使うパソコンの感染を見ます。

更新は、これから入られないための手当てです。すでに入られていないかは、別に確かめます。WordPress.orgとJPCERT/CCの資料から、見るところをまとめました。

出典：IPA「安全なウェブサイトの運用管理に向けての20ヶ条」、JPCERT/CC「Web サイト改ざんに関する注意喚起」（JPCERT-AT-2013-0027）、WordPress.org「My site was hacked」（ハッキング時のよくある質問）。

跡が見つかったときの順番は、WordPress.orgの「My site was hacked」が参考になります。まず症状と時刻を書き留め、ホスティング会社にも知らせます。

掃除を始める前に、その時点の状態をもう一度バックアップします。あとで原因を調べるための記録になるからです。

パスワードは全員分を変え、掃除が終わったあとにもう一度変えます。WordPress.orgは、この2回目を忘れないよう書いています。

IPAの20ヶ条は、改ざんを見つけたらJPCERT/CCへ届け出るよう案内しています。不正アクセスの相談先はIPAです。

自動更新はプラグインごとに選べ、初期設定で1日2回動きます

WordPress 5.5から選べます。オンにする前に、元に戻せる状態を用意しておきます。

WordPress.orgの説明では、5.5からプラグインごとに自動更新を選べます。「プラグイン」画面の「自動更新」の列で、1つずつ、またはまとめてオンにできます。

出典：WordPress.org「Plugins & Themes Auto-Updates」。2026年10月26日確認。

WordPress.orgは、自動更新をオンにする前に、元に戻せる状態か確かめるよう書いています。つまり、バックアップと戻し方を先に用意するということです。

自動更新が動いているかは「ツール」の「サイトヘルス」でも確かめられます。失敗のメールが届く宛先が、今も読まれているアドレスかも見ておきます。

当社の見方では、表に出る機能を受け持つプラグインほど自動更新に向いています。一方で、お金の計算など止まると困る機能は、手動で試してから上げる考え方もあります。

慌てたときにしないことを先に決めておきます

記録を消す、閉鎖されたものを入れ直す、パスワードの変更を1回で終える、の3つは避けます。

慌てたときほど、記録を消したり、別の穴をあけたりしがちです。避けたいことを先に決めておきます。

• 閉鎖されたプラグインを、別の配布元から入れ直さない。WordPress.orgで配布が止まった理由は、外からは見えないことがあります（当社の見方）。
• 停止しただけで終わりにしない。使わないものは削除します（IPAの20ヶ条）。
• 調べる前にファイルを消さない。先に記録とバックアップを取ります（WordPress.org）。
• パスワードの変更を1回で終わらせない。掃除のあとにもう一度変えます（WordPress.org）。
• 検証用や制作用のアカウントを残さない。IPAの20ヶ条が、残りやすい例として挙げています。

よくある質問