サイトの表示高速化（キャッシュ、圧縮、最適化）を行うプラグイン「Hummingbird – Speed Optimization, Caching, Minify, Compress & CDN」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.21.0 までのすべてのバージョンです。ただし、後述する特定の設定を有効にしている場合に限り影響を受けます。
本脆弱性を悪用された場合、ログインしていない第三者に、サーバー上で任意のプログラムを実行されるおそれがあります。
対策として、バージョン 3.21.1 以降への更新を推奨します。
脆弱性詳細
問題があるのは、ページキャッシュ機能の「デバッグログ」（動作記録を残す機能）です。この記録ファイルは、外部から直接開けてしまう場所に、プログラムとして扱われる形式（.phpファイル）で作られます。本来はファイルの先頭に、開かれてもすぐに処理を止めるための記述（保護用の記述。具体的には「<?php die(); ?>」で始まる記述）が付く仕組みでしたが、これが正しく付かない状態でした。
影響を受けるのは、「ページキャッシュ」と、その中の「デバッグログ」の両方を有効にしているサイトです。いずれも初期設定では無効のため、これらを有効化していないサイトは影響を受けません。攻撃者にログインは必要なく、サイト運営者の操作も必要ありません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 攻撃者が用意したプログラムがサーバー上で実行される
- その結果、サイト内のファイルの読み取り・書き換え、データの持ち出し、サイトの改ざんなど、サイトの管理を第三者に乗っ取られる状態につながる
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- 「ページキャッシュ」と「デバッグログ」の両方が有効になっている
- 記録ファイルが、保護用の記述が付かない状態で作り直される（プラグインの「ログの消去」操作やキャッシュの再作成、または1日1回のログ整理処理をきっかけに、この状態になる場合があります）
対策バージョンへ更新すると、これらの条件は成立しなくなります。
技術的な詳細
本脆弱性は、記録ファイルの作り方と、記録する内容の扱い方に問題が重なったことが原因です。
保護用の記述が付かない
記録ファイルの先頭に保護用の記述を書き込む処理が、ファイル操作用の部品を呼び出す条件の書き方の誤りにより、実際には一度も実行されない状態でした。そのため、サイト閲覧時に記録ファイルが作られる際、保護用の記述の付かないまま作成されていました。
記録する値をそのまま書き込む
閲覧者のリクエストに含まれる特定の情報を、内容の無害化（危険な文字の除去）を行わずに、そのまま記録ファイルへ書き込んでいました。
この2点により、攻撃者が細工したリクエストを1回送るだけで、プログラムとして解釈される内容が記録ファイルに書き込まれ、そのファイルを直接開くことで実行される状態でした。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.21.1 以降）へ更新してください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、記録ファイルへの直接アクセスや不審なリクエストの遮断に一定の効果があります。ただし確実に防げるわけではないため、根本的な対策となる更新を優先してください。
- 設定の確認（すぐにできる緩和策）
- WordPress管理画面から Hummingbird の「Page Caching」設定を開き、「デバッグログ（Debug Log）」が有効になっている場合は無効化してください。この機能を無効にすると、攻撃の入口となる記録ファイルへの書き込みが行われなくなります。
- 被害確認
- サーバーのファイルを確認できる場合（FTPやレンタルサーバーのファイル管理機能など）、
wp-content/wphb-logs/フォルダ内のpage-caching-log.phpというファイルをご確認ください。 - ファイルの先頭が「
<?php die(); ?>」で始まっていない場合、保護用の記述が付いていない状態です。 - ファイル内に、身に覚えのないプログラムらしき記述や、「
Found cookie:」に続く不自然な文字列が含まれていないかご確認ください。 - 不審な内容が見つかった場合は、対策バージョンへ更新のうえ、この記録ファイルを削除（またはプラグインの「ログの消去」を実行）してください。
- サーバーのファイルを確認できる場合（FTPやレンタルサーバーのファイル管理機能など）、
⇒ 不審なファイルの実行痕跡や、身に覚えのない改ざん・設定変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Hummingbird 3.21.0 までのバージョン（「ページキャッシュ」と「デバッグログ」の両方を有効にしている場合に影響）
脆弱性情報 (CVE-ID)
CVE-2026-83627 
（公開日 2026年9月5日 更新日 2026年9月5日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-83627 悪用確率 0.82% （上位45%） 2026年9月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Hummingbird プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
