WordPressにセキュリティ・バックアップ・表示速度の改善など複数の機能をまとめて提供するプラグイン「Jetpack」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 16.1 から 16.1.2 までです。
本脆弱性を悪用された場合、投稿の編集画面を利用できるユーザーが細工されたリンクを開くことで、攻撃者が用意した内容が編集中の記事に取り込まれる可能性があります。
対策として、バージョン 16.1.3 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、他の記事を引用して新しい投稿を作成する機能（リポスト）に存在します。この機能は、引用元の情報を投稿編集画面のURLに付いた値として受け取り、その内容を記事の下書きとして自動的に組み立てます。
受け取った値をそのまま記事の中身として扱っていたため、攻撃者が値を差し替えたリンクを用意し、投稿の編集画面を利用できるユーザーがそのリンクを開くと、意図しない内容が記事に入り込む状態となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 編集中の記事への不正な内容の混入
攻撃者が指定したHTML（Webページを構成するための記述）が、引用部分やリンクとして記事にそのまま取り込まれます。取り込まれた内容にスクリプトが含まれていた場合、編集画面を開いたユーザーのブラウザ上で実行される可能性があります。 - 不正なリンクの残存
クリックした人のブラウザ上で処理が動くように仕込まれたリンクが、記事の中に残る可能性があります。気づかずに保存・公開した場合、その内容は投稿として残ります。 - 編集中だった内容の差し替え
この処理は編集画面の内容を組み立て直すため、既存の投稿を開いていた場合は、表示されていた本文が下書きの内容に置き換わります。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- 攻撃者が、投稿編集画面を指す細工されたリンクを用意する（攻撃者側にアカウントは不要です）
- 投稿の編集画面を利用できるユーザーが、ログインした状態でそのリンクを開く
この機能を動かす仕組みは投稿編集画面でのみ読み込まれるため、サイトを閲覧しただけの訪問者が直接影響を受けることはありません。
技術的な詳細
URLに付いた値をそのまま記事の内容にしていた
リポスト機能は、引用元のアドレス・見出し・引用本文・コメント本文・コメント投稿者名の5つの値を、投稿編集画面のURLから読み取ります。
これらは本来「文字として表示されるべき値」ですが、無害化（エスケープ）を行わないまま記事のHTMLを組み立てていたため、値の中に書かれたタグがそのまま記事の一部として解釈される状態でした。特にコメント本文にあたる値は、何の加工もされずに引用ブロックの中身として使われていました。
リンク先の形式が確認されていなかった
引用元のアドレスについても、通常のWebページを指すもの（http／https）であるかの確認が行われていませんでした。そのため、Webページ以外を指す記述であっても、そのままリンクや埋め込みブロックのアドレスとして使われていました。
対策版での修正
バージョン 16.1.3 では、次の3点が追加されました。
- 引用元のアドレスを http／https のみに限定し、それ以外は処理を中止する
- 見出し・引用本文・コメント投稿者名を、文字として表示されるよう無害化してから組み立てる
- コメント本文については、あらかじめ許可したタグと属性だけを残し、script や style などのタグ、およびコメント記述を取り除く
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（16.1.3 以降）へ更新してください。
- 更新を終えるまでの間は、心当たりのないリンクから管理画面を開かないようご注意ください。
- 被害確認
- WordPress管理画面の「投稿」を開き、身に覚えのない下書きや、意図しない内容に変わっている投稿がないかご確認ください。
- 公開済みの投稿に、意図しない引用ブロック・埋め込みブロック・リンクが含まれていないかご確認ください。
- サーバーのアクセスログを確認できる場合は、投稿編集画面（post-new.php、post.php）へのリクエストのうち、URLに
comment_content=またはcomment_author=を含むものがないかご確認ください。この機能はURLに値を付けて呼び出されるため、該当するリクエストがあればアクセスログに記録されています。
- セキュリティ対策の強化
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、URLに不正な記述を含めたリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 身に覚えのない下書きや、投稿内に意図しない記述が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Jetpack 16.1 から 16.1.2 までのバージョン
脆弱性情報 (CVE-ID)
未採番
脆弱性の深刻度 (CVSS v3)
基本値: 7.2 (重要) 
[Wordfence]
※ 上記はベンダーが公表している評価値です。実際には、投稿の編集画面を利用できるユーザーがリンクを開く操作が必要です。
脆弱性脅威度(EPSS)
CVE-IDが採番されていないため、算出されていません。
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Jetpack プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
