WordPressプラグイン「Bit File Manager」に任意のファイル読み取り・削除の脆弱性

この脆弱性が悪用された場合、以下のような被害が想定されます。

本脆弱性は、大きく2つの要因が重なって発生していました。

対策版では、操作の指定方法にかかわらず権限確認が実行されるよう修正され、その結果によって処理を中止するようになりました。
また、サイト全体を対象とするフォルダ設定の利用には、管理者相当の権限が必要となりました。

CWE-862 認可の欠落（Missing Authorization） 

該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（6.9.1 以降）へ更新してください。
   • すぐに更新できない場合は、更新までの間、プラグインを一時的に停止することで受付窓口が無効になります。ただし根本的な対策は更新となりますので、更新を優先してください。
2. 被害確認
   • サーバーのアクセスログを確認してください。
     本プラグインの受付窓口は、アクセスログ上では「bitapps_fm_connector」という文字列で見分けられます。この文字列を含むリクエストを検索し、そのうちURL（アドレスの「?」以降の部分）に、操作の種類を指定するパラメータ「cmd」が付いているものがないか確認してください。
     通常の利用では操作の種類はリクエストの本文で送信されるため、URL側に「cmd」が現れているリクエストは調査の対象となります。
   • 本プラグインの「Logs（操作ログ）」画面もあわせて確認してください。
     ただし、この操作ログを記録する処理は権限確認と同じ仕組みで動作していたため、本脆弱性を悪用された場合には記録が残らない可能性があります。操作ログに記録がない場合でも被害がなかったとは限らないため、上記のアクセスログの確認を優先してください。
   • サイトを表示した際に、WordPressの初期設定画面が表示される場合は、設定ファイルが失われている可能性があります。この場合は設定を進めず、専門家へご相談ください。
   • 設定ファイルの内容が読み取られた可能性がある場合は、データベースのパスワードと、設定ファイル内の認証用キー（SALT：ログイン状態の管理に使われる文字列）の再設定をご検討ください。
     いずれもサイトの動作に関わる設定のため、不安がある場合は専門家へご依頼ください。なお、認証用キーを変更すると、ログイン中の利用者は再度ログインが必要になります。
3. 追加のセキュリティ対策
   • 登録済みユーザーアカウントの一覧を確認し、身に覚えのないアカウントがあれば削除してください。本脆弱性は登録済みアカウントでのログインを前提とするため、不要なアカウントの整理は有効です。
   • 会員登録を受け付けているサイトでは、更新が完了するまでの間、新規登録を一時的に停止することもご検討ください。

⇒不審なアクセス記録や、身に覚えのないファイルの増減が確認された場合は、WordPressの専門家などへの相談を推奨します。

Bit File Manager 6.0 から 6.9 までのバージョン

※ 対策版のバージョン 6.9.1 では、本脆弱性のほか、ダウンロード権限を与えていない利用者がファイルを取得できる問題など、複数の修正が同時に行われています。

CVE-2026-15991
（公開日 2026年8月6日 更新日 2026年8月6日）

基本値: 8.8 (重大)  　[Wordfence]

CVE-2026-15991 悪用確率 0.61% （上位54%） 2026年8月13日時点 

（今後30日以内に悪用される確率 )