Critical WordPress Plugin Vulnerability Allows Attackers to Gain Full Control Over Website
2026/07/13 CyberSecurityNews — WordPress で広く利用されている miniOrange の OAuth Single Sign-On (SSO OAuth Client) プラグインに、深刻なセキュリティ脆弱性 CVE-2026-57807 (CVSS 9.8) が発見された。この脆弱性は、未認証のリモート攻撃者により悪用される可能性があり、数百万の WordPress Web サイトが乗っ取りの危険にさらされている。
2026年7月9日に Patchstack により公表された脆弱性 CVE-2026-57807 は、OWASP Top 10 カテゴリ A7 “Identification and Authentication Failures” における Broken Authentication の脆弱性として分類される。具体的には、CWE-288 (代替パスまたはチャネルを使用する認証バイパス) に起因し、プラグインのパスワード回復メカニズムの悪用を許すものである。また、認証制御が適切に適用されていない代替認証経路の問題である、CAPEC-50 (Password Recovery Exploitation) に該当する。
この脆弱性が影響を及ぼす範囲は、SSO OAuth Client のバージョン 38.5.8 以下となる。この攻撃の前提として、事前の認証／アカウントへのアクセス／ユーザー操作は一切不要であるため、攻撃の複雑度は低く、インターネット上のどこからでも容易に悪用できる。
WordPress プラグインの脆弱性
認証されていないリモート攻撃者は、プラグインの欠陥のあるパスワード復旧フローを悪用することで、ログイン制御を完全にバイパスできる。それにより、サイト上の WordPress 管理者などのユーザーとして認証されるようになり、機密性／完全性／可用性が完全に侵害される。
悪用に成功した攻撃者は、サイトの完全な乗っ取り／悪意のあるコンテンツ注入／データの外部持ち出し／バックドアのインストール／ホスティング環境内でのラテラル・ムーブメントなどを引き起こす可能性がある。Patchstack は、この脆弱性を高優先度の脆弱性として分類している。その理由は、数千の Web サイトを同時に標的とする大規模な悪用キャンペーンで、サイトの規模やトラフィック量に関係なく悪用される可能性が高いためだ。
miniOrange から公式パッチは提供されていないが、修正プログラムが公開されるまでの期間において悪用を阻止するための緩和ルールが、Patchstack から公開されている。バージョン 38.5.8 以下を実行しているサイトの管理者に強く推奨されるのは、公式のセキュリティ・アドバイザリが公開されるまで、インターネットに公開されている WordPress 環境において、このプラグインを直ちに無効化し、削除することである。
直ちに削除できない場合に推奨されるのは、Web Application Firewall (WAF) ルールまたは IP ベースの許可リストを使用して、WordPress のログインおよびパスワード回復エンドポイントへのアクセスを制限し、攻撃対象領域を低減することだ。
この脆弱性は、2026年6月6日にセキュリティ研究者 Kim Dvash により報告され、2026年7月10日に NVD により CVE レコードが正式に公開された。
ユーザーに対して推奨されるのは、WordPress 公式プラグイン・リポジトリや miniOrange のアドバイザリで、修正済みリリースについて注意深く監視し、アップデートが提供され次第、速やかに適用することだ。
訳者後書：脆弱性 CVE-2026-57807 は、 OAuth プラグインのパスワード回復メカニズムにおいて認証制御が適切に適用されていないことに起因します。それにより、代替の認証経路が悪用され、管理者アカウントを含む Web サイト全体の制御が、完全にバイパスされる可能性があります。開発者にとって、認証処理の実装時にセキュリティ上の代替パスが発生していないことの検証はきわめて重要です。公式パッチが未公開であるため、対象のプラグインを直ちに無効化もしくは削除し、WAF などでアクセスを制限する対策が推奨されています。ご利用のチームは、ご注意ください。よろしければ、WordPress での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.