コードスニペット（サイトに機能を追加する短いプログラムやタグ）を挿入・管理するプラグイン「WPCode – Insert Headers and Footers + Custom Code Snippets」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.3.9 までのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、自分のアクセスに限ってスニペットを止めた状態でサイトを閲覧できます。
対策として、バージョン 2.4.0 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、WPCodeの「セーフモード」機能に存在します。
セーフモードは、不具合のあるスニペットでサイトが正常に表示されなくなった際に、スニペットを一時的に止めて復旧作業を行うための機能です。本来はスニペットを管理できる管理者向けの機能ですが、ログインしていない第三者でも利用できる状態になっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- スニペットで実装した制限の回避
- スニペットで設定したアクセス制限やリダイレクト（別ページへの自動転送）をすり抜けられる
- スニペットで非表示・無効化している情報や機能を閲覧・利用される
被害発生の条件
- 「自動挿入」で設置したスニペットで、アクセス制限や機能の無効化など防御目的の処理を行っている
- ※ スニペットが停止されるのは、細工したURLでアクセスした攻撃者自身の表示のみです。
- ※ スニペットの内容やサイトの設定が変更・削除されることはありません。
- ※ ショートコードや旧来の「ヘッダーとフッター」設定画面で設置したコードは影響を受けません。
- ※ アクセス解析タグの設置など、表示目的のスニペットのみ利用している場合、実質的な影響はほとんどありません。
技術的な詳細
本来の仕組み
- URLにセーフモード用のパラメータ（URL末尾に付ける追加情報）を付けてアクセスすると、そのアクセスの間だけスニペットの自動挿入が止まります。
- 利用できるのは、スニペット管理権限を持つログインユーザーと、ログイン画面からアクセスした場合に限られていました。ログイン画面を対象に含めていたのは、スニペットの不具合で管理画面に入れない場合でも、セーフモードでログインできるようにするためです。
問題点：ログイン画面の判定が不十分
- 「ログイン画面からのアクセスか」の判定が、URLのどこかにログイン画面を示す文字列が含まれているかだけで行われていました。
- そのため、どのページでも、URLの追加情報（パラメータ）にこの文字列を含めるだけでログイン画面と判定され、ログインしていなくてもセーフモードが有効になっていました。
攻撃の大まかな流れ
※ 模倣防止のため詳細は伏せています。
- 攻撃者が、制限を回避したいページのURLに、セーフモード用のパラメータと細工した文字列を付けてアクセスする
- そのアクセスでは、管理者向けのセーフモードが有効になる
対策版での修正
バージョン 2.4.0 では、ログイン画面の判定が廃止され、セーフモードを利用できるのはスニペット管理権限を持つログインユーザーのみに変更されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。
- プラグインの更新
- プラグインを対策バージョン（2.4.0 以降）へ更新してください。
- 影響の有無の確認
- 管理画面の「Code Snippets」で有効なスニペットを確認し、アクセス制限・リダイレクト・機能の無効化など防御目的のものがあるか確認してください。なければ本脆弱性による実質的な影響はほとんどありません。
- 防御目的のスニペットがある場合は、サーバーのアクセスログで「
wpcode-safe-mode」を検索してください。ログイン画面（wp-login.php）以外のページへのアクセスで記録されている場合、管理者が利用した覚えがなければ、制限を回避された可能性があります。その際は、制限で保護していたページや機能に不審な利用がないかも確認してください。
- 追加のセキュリティ対策
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、本脆弱性を狙うリクエストの遮断に有効な場合があります。ただし、WAFですべての攻撃を確実に防げるわけではないため、プラグインの更新を優先してください。
- アクセス制限など重要な防御は、スニペットだけに頼らず、サーバー設定やセキュリティ専用プラグインでの実装も検討してください。
⇒ 不審なアクセスが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
WPCode – Insert Headers and Footers + Custom Code Snippets 2.3.9 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-101301 
（公開日 2026年10月14日 更新日 2026年10月14日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.3 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-101301 悪用確率 0.25% （上位84%） 2026年10月27日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
WPCode プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
