緊急 2026年10月21日 PHPに重大な脆弱性が見つかりました

脆弱性情報の一覧

WordPressのプラグイン・テーマ・本体と、PHP本体の脆弱性を、深刻度、修正版の有無、 実際に悪用が確認されているか、今後30日以内に悪用される確率とあわせて並べています。 判定の根拠として使っているデータを、そのまま閲覧できるようにしたものです。

43,832 掲載中の既知脆弱性
31,883 すでに修正版が出ているもの
更新すれば防げます
13 実際に悪用が確認されたもの
CISA KEV 登録済み
10月30日 データの最終更新

「実際に悪用が確認されたもの」が少ないのは、悪用が少ないからではありません。 CISA KEV は米国政府が悪用の事実を確認したものだけを載せる目録で、 WordPressのプラグインが登録されること自体がほとんどありません。 つまりこの数は、悪用の総数ではなく、米国政府が把握して公表した分にすぎません。 狙われやすさの推定は、各行のEPSS (今後30日以内に悪用される確率) をご覧ください。

深刻度 すべて 緊急 高 中 低 悪用が確認済みのみ

すべての深刻度: 4,577 件 (1 / 92 ページ)

表は横にスクロールできます。見出しの列幅に収まらない場合は、左右に動かしてご覧ください。

公表日 脆弱性 対象 深刻度 修正版 悪用
2026-10-29 Gravity Forms <= 3.1.2 - Unauthenticated PHP Object Injection via Post Custom Field CVE-2026-103039 Gravity Forms gravityforms プラグイン critical CVSS 9.8 あり (3.1.3) -
2026-10-29 Export and Import Users and Customers <= 2.7.5 - Authenticated (Subscriber+) Privilege Escalation via CSV Escape-Character Mismatch in Export/Import Round Trip via Biographical Info Field CVE-2026-104368 Export and Import Users and Customers users-customers-import-export-for-wp-woocommerce プラグイン high CVSS 8.8 あり (2.7.6) -
2026-10-29 Formidable Forms <= 6.35 - Authenticated (Subscriber+) Arbitrary Plugin Installation via 'file_url' Parameter CVE-2026-89435 Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder formidable プラグイン high CVSS 8.8 あり (7.0) -
2026-10-29 AI Engine – The Chatbot, AI Framework & MCP for WordPress <= 3.8.6 - Missing Authorization to Administrator Account Takeover via Unauthenticated MCP OAuth Client Registration CVE-2026-110732 AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini ai-engine プラグイン high CVSS 7.5 あり (3.8.7) -
2026-10-29 Gravity Forms <= 3.1.1 - Unauthenticated Stored Cross-Site Scripting via Post Excerpt / Post Custom Field / Rich-Text Paragraph Field Values CVE-2026-90437 Gravity Forms gravityforms プラグイン high CVSS 7.2 あり (3.1.2) -
2026-10-29 Gravity Forms <= 3.1.2 - Unauthenticated Stored Cross-Site Scripting via List Field CVE-2026-97645 Gravity Forms gravityforms プラグイン high CVSS 7.2 あり (3.1.3) -
2026-10-29 Food Store <= 1.5.5 - Unauthenticated Stored Cross-Site Scripting via 'service_time' Cookie CVE-2026-116622 Food Store – Online Food Delivery & Pickup food-store プラグイン high CVSS 7.2 なし -
2026-10-29 Page and Post Restriction <= 1.6.1 - Unauthenticated Authentication Bypass via REST API Nonce Bypass via Cookie Re-Authentication CVE-2026-118194 Page and Post Restriction page-and-post-restriction プラグイン medium CVSS 6.5 あり (1.6.2) -
2026-10-29 JoomSport <= 5.7.14 - Authenticated (Contributor+) SQL Injection via 'pgroup' Shortcode Attribute CVE-2026-118698 JoomSport – for Sports: Team & League, Football, Hockey & more joomsport-sports-league-results-management プラグイン medium CVSS 6.5 あり (5.7.15) -
2026-10-29 Forminator Forms <= 1.55.0.2 - Unauthenticated Limited File Deletion via Draft Upload Metadata CVE-2026-5461 Forminator Forms – Contact Form, Payment Form & Custom Form Builder forminator プラグイン medium CVSS 6.5 あり (1.55.1) -
2026-10-29 Cool FormKit Lite <= 2.7.9 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Form Field custom_id Parameter CVE-2026-118500 Cool FormKit Lite – Advanced Form Builder for Elementor extensions-for-elementor-form プラグイン medium CVSS 6.4 あり (2.7.10) -
2026-10-29 Events Made Easy <= 3.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width' Shortcode Attribute CVE-2026-118634 Events Made Easy events-made-easy プラグイン medium CVSS 6.4 あり (3.3.2) -
2026-10-29 Content Egg <= 12.0.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Post Meta Modification via 'post_id' Parameter via cegg_update_products AJAX Action CVE-2026-119059 Content Egg – Affiliate Product Importer & Price Comparison content-egg プラグイン medium CVSS 4.3 あり (12.1.0) -
2026-10-29 Content Egg <= 12.0.0 - Missing Authorization to Authenticated (Author+) Administrator-Authored Post Creation via 'preset_id' Parameter CVE-2026-119087 Content Egg – Affiliate Product Importer & Price Comparison content-egg プラグイン medium CVSS 4.3 あり (12.1.0) -
2026-10-28 Bot for Telegram on WooCommerce <= 1.3.0 - Unauthenticated Authentication Bypass to Account Takeover via Fake Telegram Webhook + Brute-Forced Login Token CVE-2026-109516 Bot for Telegram on WooCommerce bot-for-telegram-on-woocommerce プラグイン critical CVSS 9.8 なし 0.57% (低い)
2026-10-28 SSL Wireless SMS Notification <= 3.8.1 - Unauthenticated Authentication Bypass to Account Takeover CVE-2026-96228 SSL Wireless SMS Notification ssl-wireless-sms-notification プラグイン high CVSS 8.1 なし 0.47% (低い)
2026-10-28 SendPress Newsletters <= 1.26.1.20 - Unauthenticated SQL Injection via 'subscriberid' Parameter CVE-2026-93855 SendPress Newsletters sendpress プラグイン high CVSS 7.5 なし 0.41% (低い)
2026-10-28 Social Web Suite <= 4.1.12 - Unauthenticated SQL Injection via 'exclude_posts' Parameter CVE-2026-93904 Social Web Suite – Social Media Auto Post, Social Media Auto Publish social-web-suite プラグイン high CVSS 7.5 なし 0.46% (低い)
2026-10-28 Newsmatic <= 1.5.0 - Unauthenticated SQL Injection via 'slug' Parameter CVE-2026-110184 Newsmatic newsmatic テーマ high CVSS 7.5 あり (1.5.1) -
2026-10-28 Wild Apricot Login <= 1.0.18 - Authentication Bypass via SSO Email-Collision Account Binding on Multisite CVE-2026-93757 Wild Apricot Login wild-apricot-login プラグイン high CVSS 7.5 なし 0.43% (低い)
2026-10-28 NEX-Forms <= 9.3.2 - Unauthenticated Stored Cross-Site Scripting via Content-Type Header CVE-2026-96767 NEX-Forms – Ultimate Forms Plugin for WordPress nex-forms-express-wp-form-builder プラグイン high CVSS 7.2 あり (9.3.3) -
2026-10-28 DSGVO All in one for WP <= 5.0 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Output Buffer Regex Corruption CVE-2026-96741 DSGVO All in one for WP dsgvo-all-in-one-for-wp プラグイン high CVSS 7.2 なし 0.24% (低い)
2026-10-28 Food Store <= 1.5.5 - Unauthenticated Stored Cross-Site Scripting via 'service_type' Cookie CVE-2026-96669 Food Store – Online Food Delivery & Pickup food-store プラグイン high CVSS 7.2 なし 0.30% (低い)
2026-10-28 Schema App Structured Data <= 2.3.2 - Unauthenticated Stored Cross-Site Scripting via Comment Content via 'Remove Microdata' Output Filter CVE-2026-96666 Schema App Structured Data schema-app-structured-data-for-schemaorg プラグイン high CVSS 7.2 なし 0.30% (低い)
2026-10-28 NewsmanApp <= 3.7.29 - Unauthenticated Stored Cross-Site Scripting via 'billing_first_name' and 'billing_last_name' Parameters CVE-2026-115821 NewsmanApp newsmanapp プラグイン high CVSS 7.2 あり (3.7.32) -
2026-10-28 Mapster WP Maps <= 2.0.5 - Unauthenticated Stored Cross-Site Scripting via 'config.loading.background' Parameter CVE-2026-107743 Mapster WP Maps mapster-wp-maps プラグイン high CVSS 7.2 あり (2.0.6) 0.40% (低い)
2026-10-28 JoomSport <= 5.7.11 - Authenticated (Contributor+) SQL Injection via 'team_id' Shortcode Attribute CVE-2026-118192 JoomSport – for Sports: Team & League, Football, Hockey & more joomsport-sports-league-results-management プラグイン medium CVSS 6.5 あり (5.7.14) 0.44% (低い)
2026-10-28 WordPress Core 5.0.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Customizer Selective Refresh WordPress wordpress 本体 バージョン帯 22 件 medium CVSS 6.4 あり (5.0.31) -
2026-10-28 WordPress Core 6.4.0 - 7.1.3 - Authenticated (Author+) Stored Cross-Site Scripting via Interactivity Router Uploaded Text Files WordPress wordpress 本体 バージョン帯 8 件 medium CVSS 6.4 あり (6.6.11) -
2026-10-28 Password Protected <= 2.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Freemius purchase_completed Handler CVE-2026-93293 Password Protected — Lock Entire Site, Pages, Posts, Categories, and Partial Content password-protected プラグイン medium CVSS 6.4 あり (2.8.5) 0.19% (低い)
2026-10-28 WordPress Core 5.0.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Non-HTML Whitespace in Block Delimiters WordPress wordpress 本体 バージョン帯 22 件 medium CVSS 6.4 あり (5.0.31) -
2026-10-28 WordPress Core 6.4.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity API Prototype Pollution WordPress wordpress 本体 バージョン帯 8 件 medium CVSS 6.4 あり (6.4.14) -
2026-10-28 WordPress Core 6.6.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity API Event Handler Bindings WordPress wordpress 本体 バージョン帯 6 件 medium CVSS 6.4 あり (6.6.11) -
2026-10-28 WordPress Core 6.6.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity API URL Bindings WordPress wordpress 本体 バージョン帯 6 件 medium CVSS 6.4 あり (6.4.14) -
2026-10-28 WordPress Core 5.9.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Navigation Block Labels WordPress wordpress 本体 バージョン帯 13 件 medium CVSS 6.4 あり (5.9.20) -
2026-10-28 LiteSpeed Cache <= 7.9.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via VPI Image Attribute Re-Serialization CVE-2026-109215 LiteSpeed Cache litespeed-cache プラグイン medium CVSS 6.4 あり (7.9.2) 0.33% (低い)
2026-10-28 Sequential Order Numbers for WooCommerce <= 3.6.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'condition' Post Meta Array Keys CVE-2026-104727 Sequential Order Numbers for WooCommerce sequential-order-numbers-for-woocommerce プラグイン medium CVSS 6.4 あり (3.7) 0.35% (低い)
2026-10-28 WordPress Core 6.6.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity Script Module Data Shadowing WordPress wordpress 本体 バージョン帯 6 件 medium CVSS 6.4 あり (6.6.11) -
2026-10-28 WordPress Core 6.4.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image and Playlist Blocks WordPress wordpress 本体 バージョン帯 8 件 medium CVSS 6.4 あり (6.4.14) -
2026-10-28 WordPress Core 6.7.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Categories Block WordPress wordpress 本体 バージョン帯 5 件 medium CVSS 6.4 あり (6.7.11) -
2026-10-28 Everest Forms <= 3.6.2 - Reflected Cross-Site Scripting via 'evf_toast_type' Parameter CVE-2026-91152 Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI everest-forms プラグイン medium CVSS 6.1 あり (3.6.3) 0.35% (低い)
2026-10-28 Extensions for Leaflet Map <= 5.4 - Unauthenticated Stored DOM-Based Cross-Site Scripting via External GeoJSON Property CVE-2026-103485 Extensions for Leaflet Map extensions-leaflet-map プラグイン medium CVSS 5.4 あり (6.0) 0.34% (低い)
2026-10-28 Greenshift <= 13.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Content via Split Text innerText CVE-2026-107629 Greenshift – animation and page builder blocks greenshift-animation-and-page-builder-blocks プラグイン medium CVSS 5.4 あり (13.2.2) 0.34% (低い)
2026-10-28 Greenshift <= 13.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Content via Nested Latest Comments Block CVE-2026-107627 Greenshift – animation and page builder blocks greenshift-animation-and-page-builder-blocks プラグイン medium CVSS 5.4 あり (13.2.2) 0.33% (低い)
2026-10-28 LiteSpeed Cache <= 7.9.1 - Unauthenticated Stored Cross-Site Scripting via HTML Minifier Predictable Placeholder (md5(REQUEST_TIME) + two-pass str_replace) CVE-2026-116763 LiteSpeed Cache litespeed-cache プラグイン medium CVSS 5.4 あり (7.9.2) 0.34% (低い)
2026-10-28 HT Mega Addons for Elementor <= 3.2.7 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Tabs Widget href DOM Sink CVE-2026-111318 HT Mega Addons for Elementor – Elementor Widgets & Template Builder ht-mega-for-elementor プラグイン medium CVSS 5.4 あり (3.2.8) 0.34% (低い)
2026-10-28 WordPress Core 4.9.0 - 7.1.3 - Unauthenticated Sensitive Information Exposure via Customizer Changesets WordPress wordpress 本体 バージョン帯 23 件 medium CVSS 5.3 あり (4.9.35) -
2026-10-28 MW WP Form <= 5.1.7 - Unauthenticated Sensitive Information Exposure in 'post_id' Parameter CVE-2026-92086 MW WP Form mw-wp-form プラグイン medium CVSS 5.3 あり (5.1.8) -
2026-10-28 Everest Forms <= 3.6.2 - Unauthenticated Sensitive Information Exposure via Smart-Tag Injection in Smart-Tag Injection in Form Field Values ({post_meta key=...}) CVE-2026-91153 Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI everest-forms プラグイン medium CVSS 5.3 あり (3.6.3) 0.61% (低い)
2026-10-28 WordPress Core 4.7.0 - 7.1.3 - Authenticated (Custom+) Stored Cross-Site Scripting via Externally-Supplied User Login Values WordPress wordpress 本体 バージョン帯 25 件 medium CVSS 4.9 あり (4.7.39) -

この一覧の読み方

  • 題名は提供元の原文 (英語) のままです。題名から当サイトの詳細ページへ移動し、そこから提供元の記録へもたどれます。
  • 深刻度は提供元が付けたCVSSの評価です。実際の危険の大きさは、悪用の条件 (ログインが必要かどうか等) やサイトの設定によって変わります。
  • 修正版が「あり」なら、そのバージョン以降へ更新してください。「なし」なら、更新を待つ間はその拡張を止めるか、代わりの拡張への切り替えをご検討ください。
  • 更新の前には、必ずバックアップを取ってから行ってください。
  • 当サイトは、個別のサイトに脆弱性を結び付けて表示することはありません。

使っている拡張が載っていたら

まず、自分のサイトが実際にその影響範囲のバージョンを使っているかを確認してください。 WordPress脆弱性診断 にURLを入れると、使用中のバージョンと照合した結果が出ます。

更新の頻度

脆弱性データは毎日1回、自動で取り込んでいます。 公開されたばかりのものも含まれますが、提供元への掲載から当サイトへの反映までに時間差が生じることがあります。 緊急の判断が必要な場合は、必ず提供元の公式アドバイザリをご確認ください。

出典とライセンス

本ページの脆弱性情報は、次の提供元の公開データをもとに自動で集計したものです。掲載内容の正確性を保証するものではありません。実際の対応にあたっては各提供元の公式アドバイザリをご確認ください。本サイトは各提供元とは無関係であり、承認または後援を受けたものではありません。

Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use

CVE® は The MITRE Corporation の登録商標です。