アクセス解析を行うプラグイン「SlimStat Analytics」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 5.4.11 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイトを訪れた第三者が送り込んだ悪意のあるプログラムによって、管理者が解析画面を開いた際に、管理者のブラウザ上で不正な動作が引き起こされる可能性があります。
対策として、バージョン 5.4.12 以降への更新を推奨します。
脆弱性詳細
サイトにアクセスがあると、このプラグインは訪問者が使っているブラウザやOSの種類を示す情報（ユーザーエージェント）を受け取り、記録して解析画面に表示します。この情報には危険な文字を取り除く処理が行われていなかったため、攻撃者が悪意のあるプログラム（スクリプト）を紛れ込ませて送信できる状態になっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
管理者画面での不正なプログラムの実行
- 攻撃者が送り込んだプログラムがサイトに保存され、管理者が解析画面の「ブラウザ」レポートを開いた際に、管理者のブラウザ上で動作する
- 管理者のログイン情報が取得され、管理操作が悪用される
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- 攻撃者がサイトにアクセスする（ログインは不要のため、第三者でも可能）
- 解析画面で、訪問者の情報を詳しく表示する設定が有効になっている
- 管理者が「ブラウザ」レポートを開いて該当箇所を表示する
なお、訪問者の情報を詳しく表示する設定は初期状態では無効です。設定を変更していない場合、保存されたプログラムが動作することはありません。
技術的な詳細
本脆弱性は、外部から送られてくる情報を安全な形へ変換する「無害化」の処理が、情報を受け取る段階・保存する段階・画面に表示する段階のいずれにも備わっていなかったことが原因です。
通常はこのうちいずれかの段階で無害化されれば動作は防げますが、
3つの段階すべてで欠けていたため、送り込まれた内容がそのまま動作し得る状態になっていました。対策版では、この3つの段階それぞれに無害化処理が追加されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（5.4.12 以降）へ更新してください。
- 保存された記録の確認（更新後に実施してください）
- 更新後に、アクセス解析の「ブラウザ」レポートを開き、訪問者の情報の中に
<img<scriptonerrorといった本来は含まれないはずのタグやコードらしき文字列を含む不審な記録がないか確認してください。 - ※更新前にこの確認を行うと、その時点で不正なプログラムが動作する可能性があります。必ず更新を済ませてから確認してください。
- 更新後に、アクセス解析の「ブラウザ」レポートを開き、訪問者の情報の中に
- 追加のセキュリティ対策
- WAF（外部からの不正なアクセスを検知・遮断する仕組み）の導入は、不正な内容を含むアクセスを遮断するうえで有効です。
⇒不審な記録や、管理者の意図しないアカウント作成・設定変更などが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
SlimStat Analytics 5.4.11 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-7634 
（公開日 2026年5月28日 更新日 2026年5月28日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.2 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-7634 悪用確率 0.44% （上位65%） 2026年7月17日時点
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
SlimStat Analytics プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
