WordPressプラグインWP Maps Pro 6.1.0以下には、未認証で管理者アカウントを作成できるCVE-2026-8732があります。一時サポートアクセス用AJAX処理がwp_ajax_nopriv_へ登録され、アクセス制御に使われたnonceもフロントエンドへ公開されるため、攻撃者は管理者とログインURLを作成できます。Wordfence CNAの評価はCVSS v3.1 9.8 CRITICALです。
脆弱性の概要と影響範囲
Wordfence CNAの説明は6.1.0以下を影響対象とし、ベンダー配布元は6.1.1を修正版として案内しています。CNA内の構造化affected配列には6.0.4以下という不整合が残りますが、安全側に6.1.0以下を対象として、6.1.1以上へ更新します。
⚠ CVE Score — 最高危険度 / CRITICAL
9.8CRITICALCVSS v3.1CVE-2026-8732
具体的な影響・攻撃シナリオ
侵害されると攻撃者はWordPress管理者としてプラグインやテーマの追加、コンテンツ改変、利用者情報へのアクセスを行えます。公開CNAは具体的な24時間当たりの攻撃件数を示していないため、本稿では件数を断定しません。
エンジニアが今すぐ取るべき対策
6.1.1以上へ更新し、不明な管理者、最近のログイン、プラグイン・テーマ、cron、ファイル変更を確認します。不審な管理者を削除するだけでなく、全管理者のセッションと資格情報を失効してください。uploads内のPHP実行拒否は一般的な防御策ですが、この管理者作成そのものは防ぎません。
📦Amazon で関連書籍・ツールを検索
サーバーセキュリティ WAF クラウド
Amazonで探す →（アソシエイトリンク）