WordPress User Profile Builder プラグインの脆弱性 CVE-2026-15826 が FIX：管理者権限奪取の恐れ

WordPress Plugin Flaw Exposes 40,000 Sites to Admin Takeover

2026/08/17 InfoSecurity — WordPress の 40,000 件を超えるサイトが、User Profile Builder プラグインのバージョン 3.16.4 以下に存在する認証回避の脆弱性 CVE-2026-15826 (CVSS 9.8) にさらされている。この脆弱性を悪用する未認証の攻撃者は、サイトの管理者アカウントへアクセスする可能性があり、この欠陥によって管理者権限を完全に奪取できる可能性があるが、悪用の可否は特定の設定に依存する。

タイプ・コンフュージョンによる管理者権限の奪取

この問題は、プラグインの登録と自動ログインのフローに存在するタイプ・コンフュージョンに起因する。アカウント作成処理が失敗した場合に、その処理がエラーを返したかどうかをプラグインが確認する前に、結果が整数へ変換される可能性があることを Wordfence が確認している。

この脆弱なコードは、登録の失敗として処理せず、その結果をユーザー ID 1 として処理してしまい、このアカウントに関連付けられた認証トークンを自動ログイン・プロセスが生成する可能性があるため、この脆弱性を悪用する未認証攻撃者が、影響を受けるサイトで管理者セッションを取得する可能性がある。

管理者アクセスの取得に成功した攻撃者は、サイト・コンテンツの変更／追加の管理者アカウントの作成／悪意のあるプラグインやテーマのインストール／機密性の高い情報へのアクセスが可能になる。ただし、説明されている乗っ取り経路はサイトの設定に依存し、管理者がユーザー ID 1 を使用し、登録後の自動ログインが有効になっている必要があるため、この脆弱性がすべてのインストール環境で重大な悪用経路をもたらすわけではない。

2026年7月14日の時点で Wordfence は脆弱性の報告を受け、翌 7月15日に検証した。User Profile Builder を開発している Cozmoslabs は報告を認め、7月16日の時点で問題に対処したバージョン 3.16.5 をリリースした。

影響を受けるサイトの所有者は、User Profile Builder をバージョン 3.16.5 以降に直ちに更新する必要がある。

WordPress User Profile Builder プラグインに存在する、認証回避の脆弱性 CVE-2026-15826 について解説する記事です。この問題はアカウント作成処理の型変換エラーに起因しており、未認証の第三者がサイトの管理者権限を奪取する恐れがあります。攻撃が成功した攻撃者により、コンテンツの改竄 ／ 管理者の不正追加 ／ 悪意あるプラグインの導入 ／ 機密情報の閲覧といった深刻な被害が引き起こされる可能性があります。運用への重大なリスクを避けるため、修正済みバージョンである 3.16.5 以降へと速やかに更新することが推奨されます。