WordPressで会員機能やコンテンツの閲覧制限を提供するプラグイン「Membership Plugin – Kadence Memberships」（旧称：Restrict Content）において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.0.0 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイトから送信されるパスワード再設定メールに記載されるリンクが、攻撃者の用意した外部サイトへ向けられる可能性があります。
対策として、バージョン 4.0.1 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、パスワードをお忘れの方向けの「パスワード再設定」機能に存在します。
再設定メールに記載するリンクの宛先を、外部から指定された値をそのまま使って組み立てていたため、攻撃者が申請時にこの値を差し替えると、メール内のリンクが外部のサイトへ向いてしまう状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
パスワード再設定メールを通じた影響
- サイトに登録されているどのアカウントについても、本人の意思とは無関係に再設定メールが送信される
- メール内のリンクを受信者が開いた場合、再設定用の確認情報が外部へ送られる
- 送られた確認情報を使ってパスワードが変更され、アカウントを乗っ取られる
- 対象には管理者アカウントも含まれるため、管理画面の操作につながる
なお、このメールはサイトの正規の機能から送信されるため、受信者側で不審なメールと見分けることが難しいという特徴があります。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- サイト上に、本プラグインのログインフォーム（
[login_form]ショートコード）を設置した公開ページがある - 受信者が、届いたパスワード再設定メールの中のリンクを開く
逆に言えば、ログインフォームを公開ページに設置していないサイトでは、この経路での攻撃は成立しません。また、リンクを開かなければパスワードが変更されることはなく、その場合は「身に覚えのない再設定メールが届く」にとどまります。
技術的な詳細
再設定メールのリンクには、パスワードを変更するために使う「再設定用の確認情報」が付け加えられます。
リンクの土台となるアドレスが外部のものに差し替えられると、この確認情報ごと外部へ渡ることになります。単なるリンク先の書き換えにとどまらないのは、このためです。
また、パスワード再設定フォームは、ログインしていない訪問者にも表示される仕組みでした。申請を受け付ける際に使う確認用の値も同じページ内に含まれていたため、誰でもその値を取得したうえで申請を送信できる状態となっていました。
対策版では、指定されたアドレスが自サイトのものかを検証する処理が追加され、自サイト以外が指定された場合はサイトのトップページに置き換えられるよう修正されています。申請後の画面遷移についても、同様に自サイト内に限定する処理へ変更されています。
攻撃の流れ（概要）
- 攻撃者が、公開されているフォームのページから申請に必要な値を取得する
- 対象のアカウント名と、誘導先とする外部アドレスを指定して申請を送信する
- 対象アカウントの登録アドレスへ、サイトから再設定メールが届く
- 受信者がリンクを開くと、再設定用の確認情報が攻撃者側へ渡る
- 攻撃者がその情報を本来のサイトで使い、パスワードを変更する
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.0.1 以降）へ更新してください。
- 更新までの間の暫定対応
- すぐに更新できない場合は、ログインフォームを設置した公開ページを一時的に非公開にすることで、攻撃の入口を塞げます。
- 対象のページは、WordPress管理画面の「固定ページ」「投稿」の検索欄で
login_formと入力すると探せます。
- 被害確認
- サイトの管理者メールアドレス宛のメールをご確認ください。
WordPressは、この機能でパスワードが変更された際、管理者宛に変更を知らせるメールを送信します。心当たりのないパスワード変更の通知が届いていないかが手がかりになります。 - 利用者からの問い合わせをご確認ください。
「申請していないのに再設定メールが届いた」という報告は、この脆弱性が試された痕跡である可能性があります。 - サーバーのアクセスログをご確認ください。
ログインフォームを設置したページに対して、rc_action=lostpasswordを含むリクエストが繰り返し記録されていないかをご確認ください。 - 心当たりのないパスワード変更が確認された場合は、該当アカウントのパスワードを再設定し、管理者権限を持つユーザーが増えていないかもあわせてご確認ください。
- サイトの管理者メールアドレス宛のメールをご確認ください。
⇒不審な変更履歴が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Membership Plugin – Kadence Memberships（旧 Restrict Content） 4.0.0 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-9273 
（公開日 2026年8月5日 更新日 2026年8月5日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.3 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-9273 悪用確率 0.28% （上位80%） 2026年8月12日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Membership Plugin – Kadence Memberships プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
