メール登録フォームやポップアップを設置し、Mailchimp・HubSpotなどと連携できるプラグイン「MailOptin」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.2.78.6 までのすべてのバージョンです。
一定の条件がそろった場合、ログインしていない第三者によって、既存のユーザーアカウント（管理者を含む）のパスワードが書き換えられ、アカウントを乗っ取られる可能性があります。
対策として、バージョン 1.2.78.7 以降への更新を推奨します。
脆弱性詳細
問題があるのは、フォームからの登録を受け付ける処理（購読用のデータ受付処理）です。この処理はログインなしで呼び出せるため、未認証の第三者からの攻撃が成立し得ます。
影響を受けるのは「WordPressユーザー登録」連携を利用しているサイトに限られます（詳しい条件は後述）。
想定される被害
攻撃が成功した場合、以下のような被害が想定されます。
- 既存アカウントの乗っ取り：管理者を含む任意のユーザーアカウントのパスワードが、攻撃者の指定した値に書き換えられる
- サイトの不正操作：管理者アカウントを乗っ取られた場合、管理画面を通じた設定変更やコンテンツの改ざんなどにつながる
被害発生の条件
以下の条件がそろった場合に、被害が発生する可能性があります。
- 「WordPressユーザー登録」連携を有効にし、その登録フォームをサイト上で公開
- 攻撃者が、乗っ取りたいユーザーの内部番号（ユーザーID）を指定してリクエストを送信
フォームを特定するための情報はページのソースから確認できる状態のため、攻撃に特別な権限や事前情報は必要ありません。この連携を使っていないサイトでは、本脆弱性は成立しません。
技術的な詳細
本来は外部から指定できない項目を、送信内容で上書きできた
フォームの入力項目とユーザー情報の対応付け（フィールドの割り当て設定）は、本来サイト管理者が決める設定です。しかし、この対応付けをフォームの送信内容に含めると、管理者の設定より優先して使われる状態でした。
書き換え先の項目に制限がなかった
この対応付けには、割り当て先として指定できる項目に制限がありませんでした。そのため、本来は触れられないはずの「ユーザーID」や「パスワード」といった項目まで、ユーザー作成処理にそのまま渡せる状態でした。
新規作成のはずの処理が、既存アカウントの更新として動作し得た
ユーザー作成処理は、「ユーザーID」が指定されると新規作成ではなく既存ユーザーの更新として動作します。この性質と上記が組み合わさることで、既存アカウントのパスワードを書き換えられる状態になっていました。
悪用の大まかな流れ
- ユーザー登録フォームを公開しているサイトを狙う
- フォーム送信処理に対し、書き換え先の項目と対象ユーザーの指定を加えたリクエストを送信する
- 指定が通ると、対象アカウントのパスワードが攻撃者の値に書き換えられる
（模倣防止のため詳細は伏せています）
対策版での修正
バージョン 1.2.78.7 では、次の修正が行われました。
- 送信内容に含められた項目の対応付けを受け付けないようにする
- 割り当て先として指定できる項目を、あらかじめ決められた範囲（ユーザー名・パスワード・表示名など）に限定する
- 「ユーザーID」などの指定を取り除き、この連携では新規作成のみ行うようにする
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（1.2.78.7 以降）へ更新してください。
- 被害確認
- WordPress管理画面の「ユーザー」一覧で、管理者アカウントに身に覚えのない変更がないか確認してください。特に、管理者が急にログインできなくなっている場合は、パスワードが書き換えられた可能性があります。
- Webサーバーのアクセスログで、フォーム送信のリクエストに
form_custom_field_mappingsという項目が含まれているものがないか確認してください。これはフォームの通常送信では使われない内部向けの項目のため、記録されている場合は攻撃を試みられた可能性があります。
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、こうした不正な項目を含むリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審な変更が確認された場合は、該当アカウントのパスワードを再設定したうえで、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
MailOptin 1.2.78.6 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-109515 
（公開日 2026年10月16日 更新日 2026年10月16日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-109515 悪用確率 0.44% （上位63%） 2026年10月16日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
MailOptin プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
