WordPressで「ほかのサイトからのアクセスを許可する設定」を行うプラグイン「Enable CORS」において、セキュリティ上の重大な問題が確認されました。影響を受けるのは、バージョン 2.0.3 までのすべてのバージョンです。
本脆弱性を悪用された場合、本来は管理者しか使えないはずの機能が、管理者でない第三者によって不正に使われるおそれがあります。
対策として、バージョン 2.0.4 以降への更新を強く推奨します。
脆弱性詳細
このプラグインには、外部からの操作を受け付ける窓口が用意されており、その利用時に「操作する権限があるか」を確認していました。
ところがこの確認処理の中に、管理者でなくても、特定の“合言葉”をリクエストに添えるだけで権限の確認を通り抜けられてしまう抜け道が組み込まれていました。この抜け道はプラグインの内部に直接書き込まれており、通常の不具合ではなく、意図的に仕込まれた裏口（バックドア）と見られています。対策版では、この抜け道がすべて削除されています。
想定される被害
コードの解析で確認できた範囲では、以下のような被害が想定されます。
- ログインしていない第三者でも、合言葉さえ添えれば管理者向けの窓口の権限確認を通り抜けられる状態
技術的な詳細
プラグインは、窓口を使う前に「操作しているのが管理者かどうか」を確認していました。
ところがこの確認に加えて、リクエストに付けられた認証用の項目の値を、プラグイン内に直接書き込まれた“合言葉”と照らし合わせる処理が用意されていました。この値が一致すると、管理者でなくても「正規の利用者」とみなされ、権限の確認を通り抜けてしまいます。
対策版では、この照らし合わせる処理がまるごと削除され、純粋に管理者かどうかだけで判定するよう修正されました。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新（最優先）
- 速やかに、プラグインを対策バージョン（2.0.4 以降）へ更新してください。
- すぐに更新できない場合は、更新できるまでの間、プラグインを一時的に無効化することを推奨します。
- 不正利用の痕跡確認
- サーバーのアクセスログを確認し、プラグインの窓口（アドレスに
wp-jsonを含むもの）への、認証用の項目（Authorization）を伴うリクエストが記録されていないか確認してください。これは通常の利用ではあまり見られないため、不審なアクセスを見分ける手がかりになります。 - あわせて、WordPress管理画面の「ユーザー」一覧に身に覚えのないアカウントがないか、サイトの設定に意図しない変更がないかを確認してください。
- サーバーのアクセスログを確認し、プラグインの窓口（アドレスに
- WAF（不正アクセスを遮断する仕組み）による緩和
- 更新までの一時的な備えとして有効です。本脆弱性は特定のリクエストの形を持つため、それに対応する検知ルールが適用されていれば、攻撃のリクエストをサーバーに届く前に遮断できる場合があります。ただし確実に防げるとは限らないため、あくまで更新・無効化までの補助的な対策と位置づけてください。
⇒不審なリクエストやアカウントが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Enable CORS 2.0.3 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-54833 
（公開日 2026年6月26日 更新日 2026年6月26日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (重大) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-54833 悪用確率 0.24% （上位85%） 2026年7月17日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Enable CORS プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
