WordPressプラグイン「W3 Total Cache」にクロスサイトスクリプティングの脆弱性

この脆弱性が悪用された場合、以下のような被害が想定されます。

遅延読み込み機能は、画像タグの中から画像の読み込み先を指定する属性を探し出し、いったん仮の画像に差し替えたうえで、本来の読み込み先を別の属性へ退避させます。

このとき、属性を探す処理には、見つけた箇所がタグの中でどの位置にあるかを判定する仕組みがありませんでした。そのため、別の属性の値（たとえば画像の代替テキスト）の中に「属性名と等号」の並びが含まれていると、それも本物の属性とみなして書き換えてしまいます。

書き換えの際には引用符を含む文字列が挿入されるため、その位置で属性値が終了したものとブラウザに解釈され、以降に続く文字列がタグの一部として読み込まれる状態となっていました。

コメント投稿者名は、保存・表示の際に無害化処理（エスケープ処理）が行われます。ただし、この処理が変換の対象とするのは引用符や不等号などの記号であり、今回の起点となる並びはこれらの記号を含みません。そのため変換されずにそのまま残り、通常の無害化処理だけでは防ぐことができませんでした。

対策版では、引用符で正しく囲まれた属性だけを書き換えの対象とし、さらにその位置が他の属性の値の内側でないことを確認したうえで処理するよう修正されています。あわせて、差し替え用の仮画像を表す文字列からも引用符が取り除かれ、書き換えによって引用符が新たに混入しないよう改められています。

CWE-79 クロスサイトスクリプティング（XSS） 

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（2.10.4 以降）へ更新してください。
2. 被害確認
   • WordPress管理画面の「コメント」を開き、検索欄に「src=」と入力して検索してください。
     投稿者名にこの文字列を含むコメントが見つかった場合は、攻撃を試みられた可能性があります。「onload」「onerror」でも同様に検索してください。
   • この確認は、更新前に行っても差し支えありません。
     今回の書き換え処理は管理画面では実行されないため、コメント一覧を表示することでスクリプトが動作することはありません。
   • 該当するコメントが見つかった場合は削除してください。
     なお、更新を適用するまでは、そのコメントが表示される公開ページを開かないようご注意ください。
3. 更新までの間の一時的な回避策
   • すぐに更新できない場合は、WordPress管理画面の「Performance」→「General Settings」を開き、「User Experience」セクションの「Lazy Load Images」のチェックを外して保存してください。
     この設定が無効であれば、原因となる書き換え処理そのものが行われません。
4. 追加のセキュリティ対策
   • WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、XSSを狙うリクエストの遮断に有効です。
     ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。

⇒不審なコメントが見つかった場合や、対応にご不安がある場合は、WordPressの専門家などへの相談を推奨します。

W3 Total Cache 2.10.3 までのバージョン

CVE-2026-18109
（公開日 2026年8月14日 更新日 2026年8月14日）

基本値: 7.2 (重大)  　[Wordfence]

CVE-2026-18109 悪用確率 0.27% （上位81%） 2026年8月16日時点 

（今後30日以内に悪用される確率 )