WordPressで検索エンジン向けの情報（メタ情報）の管理やリンク切れのチェックを行うプラグイン「WP Meta SEO」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.5.18 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が仕込んだ悪意のあるプログラムが、管理者の操作をきっかけに管理画面上で実行される可能性があります。
なお、本記事の作成時点では修正済みのバージョンが提供されていません。そのため、後述の緩和策（被害を防ぐための一時的な対処）の実施を推奨します。
脆弱性詳細
WP Meta SEO には、存在しないページ（404エラー）へのアクセスを記録する機能があります。この記録処理において、アクセスしてきた人が送信した情報を、安全な形に変換しないまま保存していたことが原因です。
その結果、攻撃者が細工した値が記録としてサイト内に保存され、後に管理者がリンク管理の画面を開いた際に、その値がプログラムとして実行される状況となっていました。
想定される被害
この脆弱性が悪用された場合、次のような被害が想定されます。
管理者への影響
- 攻撃者が仕込んだプログラムがサイト内に保存され、管理者が該当の管理画面を開いた際に、管理者のブラウザ上で動作する
- 管理者のログイン情報が悪用され、管理者になりすました操作が行われる
ただし、外部から送り込んだ値がプログラムとして保存・実行されるまでには、利用中のWebサーバーの処理状況にも左右されます。本記事では、コード上で確認できた挙動の範囲で影響を記載しています。
被害が発生する条件
- 攻撃者が存在しないページへアクセスし、不正な値を記録させる（ログイン不要）
- その後、管理者がWP Meta SEOのリンク記録を扱う管理画面を開く
技術的な詳細
存在しないページへのアクセスを記録する処理では、アクセス元から受け取ったアドレス情報（リクエスト先のパスなど）を、危険な内容を取り除かないまま記録用のデータとして保存していました。コード上では、安全に整形した値を用意していたにもかかわらず、保存時には整形前の生の値を使っていました。
さらに、保存されたこの値を管理画面に表示する処理でも、文字を安全な形に変換する処理（エスケープ処理）が行われていませんでした。この「保存時に危険な内容を取り除いていないこと」と「表示時に安全な形へ変換していないこと」が重なり、記録した値がブラウザ上でプログラムとして解釈・実行される状態となっていました。
脆弱性の種類
推奨対応事項
本記事の作成時点では修正版が提供されていません。該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。
- 一時的な緩和策（修正版が提供されるまで）
- 修正版が公開されるまでの間、WP Meta SEO プラグインの一時停止を検討してください。停止が難しい場合は、リンク記録を扱う管理画面（404とリダイレクトの管理画面）へのアクセスを、信頼できる管理者のみに制限してください。
- WAF（不正なアクセスを遮断する仕組み）を導入している場合は、有効に機能しているか確認してください。不正なプログラムの送信を狙うリクエストの遮断に有効です。
- 被害確認（安全な方法で行ってください）
- 保存された不正な値は、リンク記録を扱う管理画面を開いた瞬間に実行される可能性があります。そのため管理画面からではなく、データベースを直接参照する方法を推奨します。
- データベース管理ツール（phpMyAdmin など）で、記録テーブル
wp_wpms_linksのlink_url列を確認してください。自動記録された404のデータ（type列が404_automaticalyの行）のうち、通常のURLには現れないHTMLタグやプログラムを示す文字列（例：<、script、onerror、onload、<img、<svgなど）を含むものがないか確認してください。 - 該当する不審なデータが見つかった場合は、その行を削除してください。
⇒不審な記録や、管理者の意図しないアカウント作成・設定変更などが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
WP Meta SEO 4.5.18 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-9643 
（公開日 2026年6月24日 更新日 2026年6月29日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.2 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-9643 悪用確率 0.24% （上位85%） 2026年7月16日時点
参考
WP Meta SEO <= 4.5.18 – Unauthenticated Stored Cross-Site Scripting via REQUEST_URI in 404 Logging
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
WP Meta SEO プラグインをご利用中のお客様には、対応状況および推奨対応事項について、順次メールにてご案内しております。
WordPress プラグイン WP Meta SEO 情報
| セキュリティ告知 | このプラグインの公開は 2026-06-17 に停止されており、現在は、ダウンロードできません。 理由: author-request。 This plugin has been closed as of June 17, 2026 and is not available for download. This closure is permanent. Reason: Author Request. |
|---|
