YOOtheme Pro ― 画像処理の脆弱性が悪用されWebシェル設置
WordPress・Joomla!向けテーマ／ページビルダーYOOtheme Pro 5.0.0〜5.0.52の画像処理に、ログインなしでPHPファイルを書き込める脆弱性（CVE-2026-102785、CVSS v4 10.0）がある。Unit 42は修正版5.0.53公開の2日後から自動化された悪用を観測し、JPCERT/CCも11月5日の週報で取り上げた。
← タグ一覧へ
タグ / 対象技術
CMS
すべての面から10件。公開日の新しい順。（WordPress・Drupal・プラグイン・Rank Math・UpdraftPlus のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Drupal Commerce ― 認可の欠陥が悪用され修正版を公開
Drupalは2026年10月28日（米国時間）、EC機能を提供するCommerce Coreモジュールで一部のルートとエンティティのフィールドの保護が不十分なアクセス制御の欠陥（CVE-2026-118539、Drupalの評価で25点中21点の「Highly critical」）を修正し、悪用が確認されているとした。影響は8.x-2.41未満と3.0.0〜3.3.13未満で、注文の不整合の確認も求めている。
WordPress ― コア更新中に突けるRCEを修正、攻撃の試みも
WordPressは2026年10月28日、コア更新の作業中に認証なしでコードを実行されうる競合状態の欠陥など、多数の問題を直した7.1.4を公開した（CVE未採番、Wordfenceの評価でCVSS 8.1）。影響は4.7〜7.1.3で、Wordfenceは公開後21時間で一時展開先のインストーラーを狙う1万8,500件超の要求を観測したが、侵害の成功は報告していない。
ベーシック「ferret One」 ― 内部管理機能に不正アカウントを作成された
ベーシックは2026年10月27日、マーケティング基盤「ferret One」の内部管理機能の不備を突かれ、10月14日に第三者が不正なアカウントを作成していたと公表した。導入企業のログイン用メールアドレスが閲覧・取得された可能性があり、同社と顧客の計6アカウントで不正ログインを確認したため、2段階認証を必須化した。
UpdraftCentral ― 盗まれた署名鍵でバックドア入りプラグイン配布
バックアッププラグイン UpdraftPlus の開発元 TeamUpdraft のサイトが10月17〜18日に不正アクセスを受け、遠隔管理サービス UpdraftCentral（クラウド版）の接続鍵を含む顧客データベースが盗まれた。攻撃者はその鍵で正しく署名したコマンドを接続先のWordPressサイトに送り、99種類以上の名前のバックドアプラグインを入れた。プラグインの脆弱性ではないため、サイト側のファイアウォールや二要素認証は効かなかった。修正版は UpdraftPlus 1.26.13／2.26.13（1.26.12／2.26.12 は鍵を消せない不具合あり）。UpdraftCentral の接続鍵流出。開発元のサイトから盗まれた正規の署名鍵で、WordPressサイトに「正しく署名された」バックドア入りプラグインが送り込まれた。
Rank Math PRO ― 公式の配布物にバックドア混入
WordPress向けSEOプラグイン Rank Math の有料版 PRO で、2026年10月15日20:02〜16日07:12（UTC）に公式サイトからダウンロード・更新された 3.0.123 にマルウェアが入っていた。版数は10月7日公開の正規版と同じで、版数では見分けられない。有効化したサイトは乗っ取られたものとして扱い、サイトを開くたびにバックドアを作り直す仕組みを先に止めてから掃除する必要がある。侵入経路と影響件数は公表されていない。Rank Math PRO 3.0.123 の配布物改ざん。公式サイトからの約11時間のダウンロードと更新に、自分を作り直すバックドアが入っていた。
Drupal core CVE-2026-108097 ― Field UIの致命的RCE
Drupalは2026年10月14日、コアのField UIモジュールにある致命的なリモートコード実行CVE-2026-108097（SA-CORE-2026-014）と、寄与モジュールEntity Listの同型欠陥CVE-2026-108099（SA-CONTRIB-2026-218）を修正した。コア単体では悪用できないが、寄与モジュールが経路を提供し、少なくとも1つは認証不要。修正版はコア10.6.19／11.3.19／11.4.10、Entity List 3.0.10。上げられない場合はfield_uiのアンインストールが緩和になる。PSAでは「公表後数時間〜数日で攻撃コードが出うる」として、10月14日のセキュリティ窓口前に先行パッチ適用を勧めていた。Drupal core Field UI の致命的RCE CVE-2026-108097。本体だけでは届かないが、寄与モジュール経由で認証なしの経路もあり、Entity Listにも同型。
Bricksforge CVE-2026-85097 ― WordPressフォームの認証なしRCE悪用
WordPressのページビルダーBricksの拡張プラグインBricksforgeのPro Formsで、アップロード時に検査した画像ファイルを、送信時にクライアントが指定したPHPの名前で保存してしまう欠陥（CVE-2026-85097）が見つかった。3.1.8.9以前が対象で3.1.8.10で修正。Patchstackは10月7日21時47分（UTC）から悪用の試みを観測している。検査済みの画像を「.php」の名前で置き直させる、WordPressフォーム機能の認証なしRCEが悪用中。
Ninja Forms／WPC Product Bundles ― 蓄積型XSSで隠し管理者作成
Patchstackが、WordPressプラグイン Ninja Forms（CVE-2026-94504）と WPC Product Bundles for WooCommerce（CVE-2026-93836）の蓄積型XSSを使い、管理者のブラウザ上で偽プラグインのインストールと管理者作成を行う攻撃を10月4日から観測。ユーザー一覧に出ない管理者、元の管理者として入れる裏口URL、認証なしのファイルマネージャーが残り、プラグインを更新しても消えない。Ninja Forms／WPC Product Bundles の蓄積型XSS悪用。管理者が投稿を開いた瞬間に、一覧に出ない管理者と裏口ログインが作られる。
集英社 HAPPY PLUS COMMUNITY ― CMS設定不備から情報漏えい
集英社はファッション誌ブロガー管理システム「HAPPY PLUS COMMUNITY」への不正アクセスで、ブロガー2,835人分の個人情報などが漏えいしたと9月28日に公表。原因はCMS設定不備に起因するAPI認証情報への攻撃と説明。CMS設定不備から特権アカウントが作られブロガー2835人分が漏えい。