写真ギャラリーやスライドショーを作成・表示できるプラグイン「NextGEN Gallery」において、2件のセキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.4.1 までのすべてのバージョンです。
本脆弱性を悪用された場合、ギャラリーの作成者として登録されているユーザーによって、サーバー上で不正なプログラムを実行されたり、サーバー上のファイルを読み取られたりする可能性があります。
対策として、バージョン 4.5.0 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、外部のアプリケーションからギャラリーを操作するための、次の2つの連携機能に存在します。
- 1件目（CVE-2026-76010）：XML-RPC（外部のアプリからWordPressを操作するための仕組み）を使った画像の編集機能
- 2件目（CVE-2026-76012）：写真編集ソフト「Adobe Lightroom」と連携してギャラリーを編集する機能
いずれも、WordPressのユーザー名とパスワードでログインして利用する機能です。
想定される被害
攻撃が成功した場合、以下のような被害が想定されます。
- サイトの改ざん・乗っ取り：サーバー上で不正なプログラムを実行され、サイトの改ざん、バックドア（再侵入用の裏口）の設置、管理者アカウントの作成などが行われるおそれ
- 情報の漏えい（1件目）：データベースの接続情報が書かれた設定ファイルなど、サーバー上のファイルの内容を、画像の表示用URLから読み取られるおそれ
被害発生の条件
以下の条件がそろった場合に、被害が発生する可能性があります。
- 攻撃者が、ギャラリーの作成者として登録されているユーザーでログインできる
- 1件目は、サイトのXML-RPCが有効になっている場合に限ります（WordPressの初期状態では有効です）
初期設定では管理者のみがギャラリーを作成できるため、編集者や投稿者などにギャラリー作成を許可している、または過去に許可していたサイトが主な対象です。NextGEN Galleryの管理権限を外されたユーザーでも、作成者として記録が残っていれば対象になります。
技術的な詳細
共通の原因：権限確認の不備
- どちらの連携機能も、既存のギャラリーを操作する際に「そのギャラリーの作成者かどうか」だけを確認していました。
- 本来必要な「ギャラリーの管理権限」は確認されていませんでした。
共通の原因：書き換えられる項目に制限がなかった
- 名前や説明文に加えて「その他の項目」をまとめて送信できる仕組みがあり、送られてきた項目名を確認せずにそのまま保存していました。
- そのため、本来は変更できないはずの内部情報まで書き換えられる状態でした。
1件目：XML-RPCの画像編集（CVE-2026-76010）
- 画像ごとに記録されている「サムネイルなど各サイズの画像ファイル名」を書き換えられました。
- このファイル名に別のフォルダーを指す指定（上位フォルダーへの移動）が含まれていても、ギャラリーのフォルダー内に収まっているかを確認していませんでした。
- 画像の表示用URLにアクセスすると、次のように動作していました。
- 指定先にファイルがある場合：本来行うべき署名（不正なURLを見分けるための値）の確認をせずに、そのファイルの内容を返す
- 指定先にファイルがない場合：元の画像から縮小画像を作り、指定どおりの場所・名前で保存する（プログラムとして実行される拡張子かどうかも確認していませんでした）
2件目：Lightroom連携のギャラリー編集（CVE-2026-76012）
- ギャラリーの「写真の保存先フォルダー」や「表示に使うテンプレート（ページの見た目を決めるプログラムファイル）」を書き換えられました。
- テンプレートとして読み込むファイルかどうかを、ファイル名に「.php」という文字が「含まれているか」だけで判断していました。
- そのため、「○○.php_.jpg」のように、アップロード時の安全処理で名前が変わった画像ファイルも、テンプレートとして読み込まれる状態でした。
- テンプレートはプログラムとして実行されるため、画像の中に埋め込まれたプログラムも実行されます。
悪用の大まかな流れ
- 1件目
- ギャラリーの作成者として登録されたユーザーでログインし、XML-RPC経由で自分の画像の情報を書き換える
- 画像の表示用URLにアクセスし、サーバー上のファイルを読み取る、またはプログラムとして動くファイルを作成させる
- 2件目
- 同様にログインし、Lightroom連携でギャラリーの保存先をテンプレート用のフォルダーに変更する
- プログラムを埋め込んだ画像をアップロードし、表示テンプレートとして指定して実行させる
（模倣防止のため詳細は伏せています）
対策版での修正
- ギャラリーの操作時に、ギャラリーの管理権限を確認する処理を追加
- 外部から変更できる項目を限定し、画像ファイル名・保存先フォルダー・テンプレートの指定などは受け付けないよう変更
- 画像のファイルパスがギャラリーのフォルダー内に収まっているかを確認し、プログラムとして実行される名前のファイルは作成しないよう変更
- テンプレートは名前が「.php」で終わり、かつ所定のフォルダー内に実際に置かれているファイルのみ読み込むよう変更
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.5.0 以降）へ更新してください。2件とも解消されます。
- 被害確認
- ギャラリーの作成者を確認：管理画面の「NextGEN Gallery」→「ギャラリー」一覧で、各ギャラリーの作成者を確認してください。管理者以外のユーザーや、見覚えのないユーザーが作成者になっているギャラリーがある場合は、以下の確認を優先してください。
- アクセスログを確認：XML-RPCやLightroom連携を利用していない場合、次の通信が記録されていないか確認してください。
- 「
xmlrpc.php」への送信（POST）リクエスト - URLに「
photocrati_ajax」を含む送信（POST）リクエスト
- 「
- これらは他のプラグインやNextGEN Galleryの通常操作でも記録されることがあるため、普段利用していない接続元からの記録を中心に確認してください。見つかった場合は、同じ接続元から画像の表示用URL（URLに「
nextgen-image」を含むもの）へのアクセスが続いていないかも確認してください。 - 不審なファイルを確認：次の場所に、身に覚えのないファイルがないか確認してください。
- ギャラリーのフォルダー（初期設定では
wp-content/gallery/配下）やwp-content/uploads/配下に置かれた、「.php」などプログラムとして動くファイル - ご利用中のテーマ（子テーマ含む）フォルダー内の「
nggallery」フォルダー、およびwp-content/ngg/legacy/templates/フォルダーにある画像ファイルや、名前に「.php_」を含むファイル
- ギャラリーのフォルダー（初期設定では
- WordPress管理画面の「ユーザー」一覧で、見覚えのない管理者アカウントが作成されていないかも確認してください。
- 上記の確認で不審な通信やファイルが見つかった場合は、設定ファイル（
wp-config.php）を読み取られた可能性があるため、データベースのパスワードや、ログイン状態の保護に使われる認証用キーの変更を検討してください。
- セキュリティ対策の強化（任意）
- NextGEN Galleryの「設定」→「ロール」で、ギャラリーの管理権限を付与している権限グループが必要最小限になっているか見直してください。
- ギャラリー管理を任せる必要がなくなったユーザーや、使われていないユーザーのアカウントは、削除または権限を見直してください。
- XML-RPCを利用していない場合は、セキュリティプラグインなどで無効化すると、1件目の攻撃経路を断つことができます。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、不正なファイルのアップロードやファイルの読み取りを狙う通信の遮断に役立つ場合があります。ただし、すべての攻撃を防げるわけではないため、プラグインの更新を優先してください。
⇒ 不審なファイルやアカウントが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
NextGEN Gallery 4.4.1 までのバージョン（4.5.0 で修正）
脆弱性情報 (CVE-ID)
CVE-2026-76010 
（公開日 2026年10月31日 更新日 2026年10月31日）
CVE-2026-76012
（公開日 2026年10月30日 更新日 2026年10月30日）
脆弱性の深刻度 (CVSS v3)
脆弱性脅威度(EPSS)
CVE-2026-76010 悪用確率 1.13% （上位34%） 2026年10月31日時点
CVE-2026-76012 悪用確率 0.83% （上位42%） 2026年10月31日時点
参考
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
NextGEN Gallery プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
