WordPressでページの表示を高速化するキャッシュ機能を提供するプラグイン「WP Fastest Cache」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.5.0 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、サイトのページに外部サーバー上のスクリプトを読み込む記述を埋め込める可能性があります。埋め込まれた記述はキャッシュとして保存されるため、その後にページを閲覧した訪問者のブラウザ上で不正なスクリプトが実行されるおそれがあります。
対策として、バージョン 1.5.1 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、複数のJavaScriptファイルを1つにまとめる機能において、そのファイルの読み込み先URLを組み立てる処理に存在します。影響を受けるのは、次の3つをすべて満たすサイトです。いずれか1つでも当てはまらない場合は該当しません。
- 多言語化プラグイン「Polylang」または「Polylang Pro」が有効
- WP Fastest Cache の設定で「Combine Js」（header）が有効
- WP Fastest Cache のキャッシュ機能が有効
攻撃者はサイトにアクセスできる状態であれば十分で、ログインや、サイト運営者・閲覧者側の操作は必要ありません。通常のページ閲覧と同じ形のリクエストを1回送ることで悪用が行われます。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
サイト訪問者のブラウザ上でのスクリプト実行
ページに埋め込まれた記述により、攻撃者が用意した外部サーバー上のJavaScriptがブラウザで読み込まれ、実行されるおそれがあります。
閲覧中のページの表示内容が書き換えられる、入力した内容が外部へ送信される、別のサイトへ誘導されるといった影響が考えられます。
影響が訪問者全体に及ぶこと
スクリプトの記述を含んだページはキャッシュファイルとして保存されるため、攻撃者が1回リクエストを送った後は、同じページを閲覧した訪問者に同じ内容が配信されます。
訪問者側に特別な操作は必要なく、通常どおりページを開くだけで影響を受けます。この状態はキャッシュが削除されるまで続きます。
確認されている影響の範囲
影響は閲覧者のブラウザ上での動作に限られます。サーバー上のファイルの書き換えや、データベースに保存された情報の読み取り・改ざんは確認されていません。
技術的な詳細
前提：まとめたJavaScriptの読み込み先URLを組み立てる仕組み
「Combine Js」は、ページ内の複数のJavaScriptファイルを1つのファイルにまとめて保存し、そのファイルを読み込む記述（scriptタグ）をページに書き出す機能です。このとき読み込み先のURLは、サイトのアドレスに保存先のパスをつなぎ合わせて組み立てられます。
原因：リクエストで指定されたドメイン名をそのまま使っていた
Webサイトへのアクセスには、接続先のドメイン名を伝える情報（Hostヘッダー）が含まれています。この情報はアクセスする側が自由に指定できるものです。
対策前のバージョンでは、Polylang が有効な場合に多言語サイトのドメイン切り替えへ対応する目的で、サイト本来のドメインではなく、このHostヘッダーの値を読み込み先URLの組み立てに使用していました。その際、指定された値がサイトで実際に使われているドメインかどうかを確認していませんでした。そのため、無関係なドメイン名を指定してアクセスすると、そのドメインを指す読み込み先URLがページに書き出されます。
結果：書き出された記述がキャッシュに保存される
このページはキャッシュファイルとして保存されます。保存先はアクセスされたURLごとに決まり、ドメイン名は保存先の区別に使われません。そのため、攻撃者が送ったリクエストで作られたページが通常のURLのキャッシュとして保存され、以降の訪問者に配信されます。
対策版での修正
- Polylang に設定されているドメインの一覧をあらかじめ取り出し、リクエストで指定されたドメイン名がその中に含まれる場合にのみ採用するよう変更
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（1.5.1 以降）へ更新してください。
- 該当設定の確認
- WordPress管理画面の「プラグイン」一覧で、「Polylang」または「Polylang Pro」が有効かどうかご確認ください。有効でなければ本脆弱性の対象外です。
- 有効な場合は、管理画面の「WP Fastest Cache」→「Settings」タブを開き、「Combine Js」（header）にチェックが入っているかご確認ください。チェックが入っていなければ本脆弱性の対象外です。
- 被害確認（項番2で対象に該当した場合）
- ご自身のサイトのトップページなどをブラウザで開き、ページのソースを表示して
wpfc-minifiedという文字列を検索してください。該当するscriptタグの読み込み先が「//ご自身のサイトのドメイン/wp-content/cache/wpfc-minified/…」の形であれば問題ありません。ドメイン名の部分が見覚えのない外部のものになっている場合は、影響を受けている可能性があります。 - サーバー上のファイルを確認できる場合は、
wp-content/cache/all配下に保存されているHTMLファイルの中に、外部のドメインを含むwpfc-minifiedの記述が無いかをご確認ください。 - Webサーバーのアクセスログを保存している場合は、ご自身のサイトで使用していないドメイン名でのアクセスが記録されていないかを確認すると、悪用の試行を把握しやすくなります。
- ご自身のサイトのトップページなどをブラウザで開き、ページのソースを表示して
- キャッシュの削除（更新後に必ず実施してください）
- プラグインを更新しても、すでに保存されているキャッシュファイルはそのまま残り、配信され続けます。
- 管理画面の「WP Fastest Cache」→「Clear Cache」タブを開き、「Clear Cache and Minified CSS/JS」を実行して、キャッシュとまとめられたCSS/JSファイルをすべて削除してください。
- セキュリティ対策の強化（任意）
- Webサーバー側で、サイトで使用しているドメイン名以外のリクエストを受け付けない設定にしておくと、本脆弱性のようにドメイン名を偽って送られるリクエストへの対策になります。ただし、根本的な対策となるプラグインの更新とキャッシュの削除を優先してください。
⇒ ページのソースに見覚えのない外部ドメインの記述がある、サイトの表示や動作に不審な点があるといった場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
WP Fastest Cache 1.5.0 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-19760 
（公開日 2026年8月26日 更新日 2026年8月26日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.2 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-19760 悪用確率 0.40% （上位67%） 2026年8月31日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
WP Fastest Cache プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
