WordPress WPMU DEV プラグインの脆弱性 CVE-2026-76581 が FIX：管理者権限奪取の恐れ

Critical WordPress Plugin Flaw Allows Unauthenticated Administrator Account Takeover

2026/08/28 gbhackers — WordPress の WPMU DEV Dashboard プラグインに、重大な認証回避の脆弱性 CVE-2026-76581 (CVSS 9.8) が確認された。この脆弱性を悪用する未認証の攻撃者が、Hub の Single Sign-On (SSO) を設定している脆弱なサイトで管理者レベルのアクセス権を取得し、WPMU DEV Dashboard 5.0.1 以下に影響を及ぼす可能性がある。すでに WPMU DEV は、2026年8月24日にバージョン 5.0.2 をリリースし、この問題に対処している。このプラグインのアクティブ・インストール数は、35 万件に達するとされる。

WordPress プラグインの重大な脆弱性

この脆弱性を 8月19日に発見したのは Wordfence の研究者 Alex Thomas であり、発見には AI を活用する同社の脆弱性調査システム Wordfence Argus が用いられた。脆弱性の原因は、Hub SSO の認証プロセスにおいて、プラグインが HMAC-SHA-256 署名を生成／検証する方法に一貫性がないことである。

WPMU DEV Dashboard は、SSO 認証の開始／完了において、認証を必要としない 2 つの AJAX アクションである “wdpsso_step1″／”wdpsso_step2” を使用しており、ユーザーが WordPress にログインする前でも、これらのエンドポイントにアクセスできる。

この実装では、SSO の第 1 段階で token／hashed state／redirect URL／site domain という 4 つの値を連結したデータに対して、delimiter／length prefix なしで HMAC を生成し、その HMAC と関連する非秘密値を SSO のやり取りの一部として返す。その一方で、第 2 段階では token／state／redirect という 3 つの値のみを delimiter なしで連結して HMAC を検証するため、domain が完全に省略されることによって正規化に曖昧さが生じる。

攻撃者は、redirect パラメータを空にした状態で、第 1 段階を開始できる。その結果として生成される署名は、実質的に token || state || domain という構造のバイト・シーケンスを対象とする。その後、redirect フィールドに domain の値を設定した同じ署名を第 2 のエンドポイントへ送信すると、このエンドポイントは token || state || redirect に対して検証用 HMAC を計算するため、同一のバイト・シーケンスが再構築され、署名が受け入れられる。

この攻撃では、サイトの WPMU DEV API key を取得する必要はなく、認証を必要としない第 1 段階のエンドポイントが署名オラクルとして機能する。したがって、別の論理コンテキストでも有効かつ再現可能な HMAC が生成される。攻撃者は第 1 段階で、新しい token／関連付けられた hashed state／pre-SSO Cookie も取得できるため、リプレイ防止の制御を追加するだけでは、この攻撃を阻止できない。

こうして検証に成功したプラグインは、WordPress の認証機能を呼び出し、Hub SSO にマッピングされたアカウントのセッションを作成する。マッピングされたアカウントが管理者に属している場合には、攻撃者による WordPress 環境の完全な制御につながる。

したがって、有効になっている管理機能に応じて、プラグインのインストール／テーマの変更／認証情報の窃取／データへのアクセス／WordPress に組み込まれたコード編集機能を介したリモート・コード実行につながる可能性がある。

以前に WPMU DEV Dashboard 5.0.0 以下に影響していた、空の key を使用する WDP-AUTH 検証に関連した問題とは異なり、今回公開された脆弱性はバージョン 5.0.1 でも悪用可能であり、特に Hub SSO を有効にしているサイトが標的にされやすい。

バージョン 5.0.2 におけるパッチでは、第 1 段階で生成された HMAC をサーバ側に保存し、第 2 段階で同じ署名が再利用された場合は拒否する。テストでは、修正版で “wordpress_logged_in” Cookie が発行されることなく、リプレイ攻撃を阻止できることが確認されている。

管理者は WPMU DEV Dashboard をバージョン 5.0.2 以降へ速やかにアップデートする必要があり、直ちにパッチを適用できない組織では、アップデートをインストールするまで Hub SSO を無効化する必要がある。

WordPress の管理プラットフォーム連携機能における認証処理の不備を紹介する記事です。この問題は、WPMU DEV Dashboard プラグインの内部で HMAC 署名を生成／検証する際のデータ構造の不一致が原因で発生します。未認証の第三者による署名検証の迂回／管理者セッションの奪取／ Web サイトの完全な奪取といった深刻な影響を及ぼします。脆弱性 CVE-2026-76581 への対策として、安全なバージョン 5.0.2 以降への迅速な更新、または一時的な Hub SSO 機能の無効化が求められます。