サイトの表示速度を最適化するプラグイン「10Web Booster（tenweb-speed-optimizer）」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.34.10 までのすべてのバージョンです。
本脆弱性を悪用された場合、認証されていない第三者によって、サイト内に任意のファイルやフォルダが作成されたり、サイトのファイルが移動・削除されたりする可能性があります。
対策として、バージョン 2.34.11 以降への更新を推奨します。
脆弱性詳細
問題があるのは、このプラグインが画像の一括最適化を行う際の処理です。処理を分割して進める際に、API（外部から処理を呼び出す窓口）の正当性を確認するための値が、外部から読み取れる場所に一時的に保存されていました。
この値を取得した第三者は、ログインしていない状態のまま、APIを正規の利用者として呼び出せる状況でした。さらに、処理対象を指定するパラメータの内容確認が不十分だったため、本来許可されていない操作まで実行できる状態となっていました。攻撃はサイト運営者の操作を必要としません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- サイト内（画像のアップロードフォルダなど）に、任意の名前のファイルやフォルダが作成される
- 作成されたファイルに悪意あるプログラムが含まれていた場合、サーバー上で実行される恐れがある
- サイトを構成するファイルが移動・削除され、サイトが正常に表示されなくなる恐れがある
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- サイトが10Webのアカウントに接続されている
- 画像の一括最適化が実行中、または処理が途中で止まっている（この間、確認用の値が外部から読み取れる状態になります）
条件を満たしている間は、ログインしていない第三者でも攻撃できます。ただし、この条件が成立するのは処理が途中で止まっているなどの限られた状況です。
技術的な詳細
認証用の値が外部から読み取れる場所にあった
APIの正当性確認に使う値は、一括最適化の処理を分割して進める際に、アップロードフォルダ内のファイルへ保存されていました。このフォルダは外部から読み取れる場所のため、第三者がこの値を取得できる状態でした。
この値は本来、サーバー内部での処理再開用で、ログインしていない状態を前提に作られます。そのため、取得した第三者も未ログインのまま、正規の利用者としてAPIを呼び出せました。
処理対象を指定するパラメータの確認不足
画像圧縮やバックアップ操作を行うAPIでは、処理対象を指定するパラメータ（page_id・type）の内容確認（サニタイズ：危険な文字を取り除く処理）が行われていませんでした。このため、ファイルの保存場所やファイル名を外部から操作できる状態でした。
対策版での修正
バージョン 2.34.11 では、次の点が追加されています。
- API認証を、再利用できる値から1回限りの使い捨て方式へ変更し、認証用の値を外部から読み取れるファイルに保存しないようにした
- 処理対象を指定するパラメータに文字種のチェックを追加し、危険な値を拒否するようにした
- 保存先フォルダにアクセス制限用のファイルを設置し、外部から中身を読み取れないようにした
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.34.11 以降）へ更新してください。
- 被害確認
- サイトの画像アップロードフォルダ（wp-content/uploads/ 以下）に、身に覚えのないフォルダやファイル、特に拡張子が「.php」などのプログラムファイルが作成されていないか確認してください。
- サイトの表示崩れや、本来あるはずのファイルが見当たらないなどの異常がないか確認してください。
- 更新までの間の緩和策
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、このAPIを狙う不正なリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となる更新を優先してください。
⇒ 不審なファイルやサイトの異常が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
10Web Booster 2.34.10 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-108587 
（公開日 2026年10月15日 更新日 2026年10月15日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-108587 悪用確率 0.92% （上位40%） 2026年10月19日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
10Web Booster プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
