サイトのセキュリティ対策・バックアップ・遠隔管理を行うプラグイン「MalCare Security」「BlogVault Backup & Staging」「WP Remote」において、セキュリティ上の問題が確認されました。この3つは共通の遠隔管理の仕組みを使っており、同じ問題が含まれます。影響を受けるのは、バージョン 6.65 より前のすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者にサイトを攻撃者側の管理画面へ接続され、管理者と同等の権限で操作されるおそれがあります。
対策として、バージョン 6.65 以降への更新を推奨します。
脆弱性詳細
問題があるのは、サイトを提供元の管理サービスに接続するための「接続キー」を作る処理と、接続の要求を受け付ける処理です。接続キーは、サイト側で一時的に作られる秘密の値をもとに組み立てられます。
影響を受けるのは、これらのプラグインを有効にしているサイトです。攻撃者にログインは必要なく、サイト運営者が何らかの操作を行う必要もありません。
想定される被害
接続が成立すると、攻撃者は本来サイト運営者だけが使える遠隔管理機能をそのまま利用できる状態になります。この機能で行える操作は、次のとおりです。
- サイト内のファイルの読み取りと書き換え
- データベースの参照と変更
- プラグインやテーマの追加・有効化
また、接続が成立すると、その接続情報はサイト内に保存され、もとになった秘密の値の期限が切れた後も残り続けます。
被害発生の条件
以下の条件が重なった場合に、影響が生じる可能性があります。
- 対象のプラグインが有効になっている
- 接続に使う一時的な秘密の値が、有効期限内にある（この値は、プラグインの接続用の画面が表示されたときに作られます。対策版より前のバージョンでは、24時間有効でした）
- 攻撃者がこの値を割り出す
対策バージョンへ更新すると、これらの条件は成立しなくなります。
技術的な詳細
本脆弱性は、接続キーのもとになる秘密の値について、作り方と扱い方に3つの問題が重なったことが原因です。
前提：接続キーの仕組み
これらのプラグインは、提供元の管理サービスからサイトを操作するために、サイトとサービスを結び付ける「接続キー」を使います。接続キーは、サイト側で作られる一時的な秘密の値に、サイトのURLとプラグイン名を組み合わせたものです。
URLとプラグイン名は誰でも分かる情報のため、秘密の値さえ判明すれば、接続キーそのものを組み立てられる構造でした。
原因1：秘密の値が推測されやすい方法で作られていた
秘密の値の生成に、暗号用途には向かない簡易な乱数の仕組みが使われていました。この仕組みは内部で取りうる状態の数が限られているため、生成されうる値の範囲が、現実的な時間で試し尽くせる範囲まで狭まります。
原因2：言い当てたかどうかを外部から確認できた
認証に失敗したリクエストへの応答に、秘密の値から計算された値の一部が含まれていました。この応答はログインなしで誰でも受け取れるうえ、計算のもとになる他の要素は、攻撃者が送るリクエストの中で自由に指定できます。
そのため、応答を一度受け取っておけば、あとは攻撃者の手元だけで候補を突き合わせ、正解を絞り込める状態でした。さらに同じ応答には、秘密の値が現在有効かどうかを示す情報も含まれていました。
原因3：接続の受け付けが秘密の値だけに依存していた
接続の要求を受け付ける処理では、秘密の値が一致すれば接続が成立し、それ以外にサイト固有の情報で裏付けを取る仕組みがありませんでした。
対策版での修正
- 秘密の値の生成が、暗号用途向けの乱数の仕組みに変更されました。
- 認証に失敗した際の応答から、秘密の値に由来する情報が削除されました。
- 秘密の値の有効期限が、24時間から30分に短縮されました。
- 接続キーに、サイトの設定ファイル（wp-config.php）に記録されているセキュリティキーをもとに計算した照合用の値が追加されました。この値は外部から取得できないため、秘密の値だけでは接続が成立しなくなりました。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（6.65 以降）へ更新してください。
- 攻撃の実証コードは2026年9月24日に公開が予告されています。それまでに更新を済ませておくことを推奨します。
- なお本脆弱性は、攻撃の下準備が一度の通信だけで済むため、WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）や、同一の送信元からのアクセス制限では防ぎきれません。更新以外に確実な回避策はありません。
- 被害確認（更新後に必ず実施してください）
- 更新しても、すでに登録されてしまった接続先は自動的には解除されません。以下をご確認ください。
- 接続中のアカウントの確認
WordPress管理画面の左メニューからプラグイン名（MalCare など）を開き、接続中のアカウント一覧（「Accounts associated with this website」と表示される画面）をご確認ください。管理画面のアドレスを直接開く場合は、サイトのアドレスに続けて、MalCare は/wp-admin/admin.php?page=malcare&account_details=true、WP Remote は/wp-admin/admin.php?page=wpremote&account_details=trueを指定してください。
一覧に表示されているのは、このサイトに接続されている管理アカウントとそのメールアドレスです。心当たりのないものが表示されている場合は、「Disconnect」から接続を解除してください。 - アクセスログの確認
Webサーバーのアクセスログを確認できる場合は、rcvraccという文字列を含むリクエストが記録されていないかご確認ください。これは接続をやり直すときにだけ使われるもので、通常の運用ではほとんど記録されません。接続作業を行った覚えのない時期に記録されている場合は、接続を試みられた可能性があります。 - 利用者アカウントの確認
管理画面の「ユーザー」メニューを登録日順に並べ替え、身に覚えのない管理者アカウントが追加されていないかご確認ください。
- セキュリティキーの確認（任意）
- 対策版では、サイトの設定ファイル（wp-config.php）に記録されているセキュリティキーを、接続キーの照合に使います。このキーが初期状態の文字列のままだったり、他のキーと同じ値になっている場合、プラグインは代わりの値を用意するため保護は働きます。ただしセキュリティキーはWordPress全体のログイン状態の保護にも使われる重要な設定のため、この機会に初期値のまま残っていないかご確認ください。
⇒ 心当たりのない接続先や利用者アカウント、投稿・設定の変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
MalCare Security / BlogVault Backup & Staging / WP Remote 6.65 より前のバージョン
脆弱性情報 (CVE-ID)
CVE-2026-19718 
（公開日 2026年8月26日 更新日 2026年8月26日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-19718 悪用確率 0.29% （上位79%） 2026年9月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
MalCare Security / BlogVault Backup & Staging / WP Remote プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
