WordPressの表示速度を改善するキャッシュプラグイン「W3 Total Cache」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.9.4 までのすべてのバージョンです。
本脆弱性を悪用された場合、認証されていない第三者によって、サーバー上のファイルの内容が読み取られる可能性があります。
対策として、バージョン 2.10.0 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、CSSやJavaScriptをまとめて配信する「Minify（ミニファイ）」機能において、どのファイルを読み込むかの指定に、外部からのリクエストに含まれる値がそのまま使われる状態にあったことに起因します。
その結果、本来配信の対象ではないファイルであっても内容が読み込まれ、応答として返される状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
サイト内部の情報が読み取られる影響
- 公開を前提としていないファイルの内容が、外部から取得される
- 取得された内容にデータベースへの接続情報や、ログイン状態の管理に使われる設定値が含まれる場合、それらを利用した不正アクセスにつながるおそれ
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- 該当バージョンのW3 Total Cacheが有効で、Minify機能が「手動（Manual）」の設定で使われている
- 攻撃者がサイトにアクセスできる状態である
ログインは必要なく、管理者やサイト利用者が特別な操作を行っていない場合でも、攻撃が試みられる可能性があります。
技術的な詳細
Minify機能は、リクエストされたファイル名の形式によって、読み込むファイルの決め方を切り替えていました。自動モードに対応する形式では、対象となるファイルの一覧をサーバー側で組み立てます。
一方、手動モードに対応する形式では、この組み立てが行われないため、リクエストに付いていたファイル一覧の指定が破棄されずに残り、そのまま読み込み処理へ渡されていました。読み込み処理の側でも、対象がCSSやJavaScriptであるかを確認する仕組みがなかったため、指定されたファイルの内容がそのまま読み込まれる状態でした。
対策版では、手動モードに対応する形式のリクエストを受け取った際に、リクエストで渡された指定を破棄し、設定内容から組み立てた一覧のみを使うよう変更されています。あわせて、読み込み処理の側にも、CSSまたはJavaScript以外を対象としないための確認が追加されました。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.10.0 以降）へ更新してください。
- 該当有無と被害の確認
- WordPress管理画面の「Performance」→「Minify」を開き、
「Minify mode」の設定を確認してください。「Manual」になっている場合は、この脆弱性の条件に該当します。優先して更新を適用してください。 - Minify機能を利用していない場合や、設定が「自動（Auto）」の場合は、この脆弱性の条件には当てはまりません。ただし他の修正も含まれるため、更新自体は推奨します。
- レンタルサーバーの管理画面などからアクセスログを取得し、
f_arrayという文字列を検索してください。
このパラメータは通常の閲覧では使われないため、記録があれば攻撃が試みられた形跡と考えられます。ただし設定によっては攻撃が成立しないため、記録が残っていること自体が、直ちに情報を読み取られたことを意味するものではありません。 - 記録が見つかり、かつ設定が「Manual」であった場合は、更新の適用に加えて、データベースの接続パスワードおよびWordPressの認証用設定値（wp-config.php 内のソルト）の変更を検討してください。
- WordPress管理画面の「Performance」→「Minify」を開き、
- 追加のセキュリティ対策
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、この種のリクエストの遮断に有効です。ただしWAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒アクセスログに不審な記録が確認された場合や、対応の判断に迷う場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
W3 Total Cache 2.9.4 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-9282 
（公開日 2026年7月11日 更新日 2026年7月14日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.5 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-9282 悪用確率 2.77% （上位15%） 2026年7月27日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
W3 Total Cache プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
