ss投稿コード · TXT
WordPressでカスタム投稿タイプやカスタムフィールドを作成・管理できるプラグイン「Pods – Custom Content Types and Fields」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.3.9 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、本来は管理者だけが行える操作を実行できる可能性があります。
対策として、バージョン 3.3.9.1 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、プラグインの管理用処理を呼び出す「受付窓口」（管理用のAJAX処理）に存在します。影響を受けるのは、当該プラグインを有効化しているサイトです。
攻撃者はサイトにアクセスできる状態であれば十分で、ログインや管理者側の操作は必要ありません。この受付窓口へリクエストを送ることで悪用が行われます。
想定される被害
この脆弱性が悪用された場合、本来は管理者しか行えない操作が、権限のない第三者に実行されるおそれがあります。想定される具体例は次のとおりです。
- 攻撃者が自身の権限を管理者相当へ引き上げる
- サイト管理者を含む既存アカウントの情報を書き換える
- 結果として、サイトの乗っ取りにつながる
なお、すでに本脆弱性を狙った攻撃が多数観測されていると報告されており、早急な対応が必要です。
技術的な詳細
本脆弱性は、管理用の受付窓口で安全確認が実質的に働いていなかったことが原因です。仕組みは次のとおりです。
- 受付窓口には本来、複数の安全確認があった（実行してよい操作か／正規のリクエストか（確認用コード＝nonce）／ログイン状態や権限は十分か）
- これらの確認は、失敗すると共通のエラー処理に処理を渡す作りだった
- そのエラー処理が、ある互換用の条件では処理を止めず素通りしてしまい、確認に失敗しても先へ進んでいた
- さらにこの窓口は未ログインの利用者からも受付可能な設定で、第三者でも到達できた
対策版では、（1）未ログインからの受付を廃止、（2）確認に失敗したら確実に処理を中断、（3）互換用の経路にも正規性の確認を追加、という修正が行われています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.3.9.1 以降）へ更新してください。
- 旧系列をご利用の場合は、それぞれの対策版（2.8.23.4 / 2.9.19.4 / 3.0.10.4 / 3.1.4.2 / 3.2.8.3）以降へ更新してください。
- 被害確認
- WordPress管理画面の「ユーザー」で、身に覚えのない管理者アカウントや、意図しない権限（ロール）の変更が無いか確認してください。見つかった場合は、該当ユーザーの削除または権限の修正を行ってください。
- Webサーバーのアクセスログで、管理用の受付先（
admin-ajax.phpのaction=pods_admin）への、ログインを伴わない不審なPOSTリクエストが無いか確認すると、悪用の痕跡を把握しやすくなります。
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、本脆弱性を狙うリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なアカウントや、身に覚えのない設定変更・改ざんが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Pods – Custom Content Types and Fields 3.3.9 までのバージョン
（旧系列では 3.2.8.2 以下、3.1.4.1 以下、2.8.23.3 以下 なども影響を受けます）
脆弱性情報 (CVE-ID)
CVE-2026-19598 
（公開日 2026年8月15日 更新日 2026年8月17日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-19598 悪用確率 2.30% （上位17%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Pods プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
