WordPressでサイト内のリンク切れを自動的に検出できるプラグイン「Broken Link Checker」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.4.11 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、URLに付けたパラメータ（サイトへの指示として渡される値）を通じてWordPress内部の値を書き換えることが可能で、条件が揃った場合にはサーバー上で任意のプログラムが実行されるおそれがあります。
対策として、バージョン 2.4.12 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、プラグインが用意している通知用URL（配信されたメール内のリンクなどを受け付ける窓口）のリクエスト処理に存在します。この処理はプラグインが有効な間、サイトの公開ページが表示されるたびに動作します。
そのため攻撃者はサイトにアクセスできる状態であれば十分で、ログインも、サイト利用者や管理者の操作も必要ありません。
想定される被害
この脆弱性が悪用された場合、ログインしていない第三者がサーバー上で任意のプログラムを実行できるおそれがあります。その場合、サイトの改ざんや保存されている情報の持ち出し、サイトの乗っ取りにつながる可能性があります。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- WordPressのパーマリンク（記事などのURLの形式）設定が「基本」（URLが「?p=123」のような形式になる設定）になっている
- 攻撃者が、サイトの公開ページに対して細工したパラメータを付けたリクエストを送信する
- サーバー上でのプログラム実行にまで至る場合は、加えて、従来型のテーマ（クラシックテーマ：ブロックエディターでサイト全体を編集する形式ではない、従来のPHPファイルで構成されたテーマ）を使用している
パーマリンク設定が「基本」以外になっているサイトは、本脆弱性の影響を受けません。
また、ブロックテーマを使用している場合でも、WordPress内部の値が外部から書き換えられる状態であること自体は変わりません。パーマリンク設定が「基本」であれば、テーマの種類にかかわらず更新の対象としてお考えください。
技術的な詳細
WordPressは、URLに付けられたパラメータのうち内部の処理に渡してよいものを、あらかじめ決められた一覧で限定しています。
本プラグインは、パーマリンク設定が「基本」の場合に自身の通知用URLを認識できるようにするため、URLのパラメータをこの仕組みを通さずに、WordPressの内部処理へ直接引き渡していました。
このとき引き渡していたのは、プラグインが必要とする1つのパラメータだけではなく、リクエストに含まれるパラメータのすべてでした。値そのものには文字列としての無害化処理が行われていましたが、「そのパラメータを受け付けてよいかどうか」の確認は行われていませんでした。
その結果、本来は外部からの指定を受け付けないはずのWordPress内部の値までもが、外部から自由に設定・書き換えできる状態となっていました。従来型のテーマでは、この内部の値がページを組み立てる処理で使われるため、書き換えを通じてプログラムの実行にまでつながり得る状態でした。
対策版では、この引き渡し処理そのものが削除されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.4.12 以降）へ更新してください。
- 該当条件の確認
- WordPress管理画面の「設定」→「パーマリンク」を開き、「基本」が選択されているか確認してください。
- 「投稿名」「日付と投稿名」など、「基本」以外が選択されている場合、本脆弱性の影響は受けません。
- 「基本」が選択されている場合は、更新を優先して実施してください。なお、パーマリンク設定を「基本」以外へ変更すると発動条件から外れますが、サイト内のURLが変わり既存のリンクや検索結果に影響するため、暫定的な回避策としてのみご検討ください。
- 被害確認
- Webサーバーのアクセスログを、更新を適用する前の期間を対象に確認してください。トップページや通常のページに対して、見慣れないパラメータが複数付いたURLでの呼び出しが繰り返し記録されていないかが手がかりになります。
- サーバー上のサイトファイルの中に、身に覚えのない日時で追加・更新されたPHPファイル（サーバー上で動作するプログラムのファイル）が無いか確認してください。特に、画像などのアップロード先フォルダ（通常は
wp-content/uploads/配下）にPHPファイルが存在する場合は、通常あり得ない状態です。 - WordPress管理画面の「ユーザー」メニューで、身に覚えのない管理者権限のユーザーが追加されていないか確認してください。
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、不正なパラメータを含むリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なファイルやアカウント、身に覚えのない改ざんが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Broken Link Checker 2.4.11 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18937 
（公開日 2026年8月19日 更新日 2026年8月19日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-18937 悪用確率 0.40% （上位68%） 2026年8月26日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Broken Link Checker プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
