WordPressからのメール送信をSMTPサーバーや各種メール配信サービス経由に切り替えるプラグイン「FluentSMTP」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.2.95 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイトから送信されたメールの記録を管理者が管理画面で確認した際に、第三者が仕込んだスクリプトが管理者のブラウザ上で実行される可能性があります。
対策として、バージョン 2.3.0 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、送信したメールの記録を残す「メールログ」機能に存在します。記録される宛先のうち、表示名（メールアドレスに添えて表示される名前の部分）に含まれる文字の扱いに問題がありました。
影響を受けるのは、管理画面でメールログを閲覧する管理者です。スクリプトが実行されるのは管理者のブラウザ上であり、サイトの公開ページを訪問した一般の閲覧者に影響が及ぶものではありません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
管理者への攻撃（蓄積型XSS）
- 攻撃者が送り込んだ文字列がメールログとしてサイト内に保存され、管理者がメールログの詳細画面を開いて「前へ／次へ」で別の記録に切り替えた際に、ブラウザ上でスクリプトとして実行される
- 管理者としてログインした状態の画面で実行されるため、管理者本人が意図しない管理画面の操作につながる可能性がある
被害発生の条件
攻撃者はサイトにログインしている必要がなく、メール送信のきっかけとなる操作を行うだけで、細工した文字列をメールログに記録させることが可能でした。そのうえで、以下の条件が重なった場合に被害が発生する可能性があります。
- サイトから送信されるメールの宛先表示名に、外部から入力された値が使われる仕組みがある（例：問い合わせフォームからの自動返信メールで、送信者が入力した氏名が宛先名として使われる場合）
- FluentSMTPのメールログ機能が有効で、その送信が記録されている
- 管理者がメールログの詳細画面を開き、「前へ／次へ」の操作を行う
技術的な詳細
本脆弱性は、以下の2点が重なったことで成立していました。
(1) メールログを保存する処理において、無害化（サニタイズ：危険な文字を安全な形に変換する処理）の対象が入れ子構造の内側まで及んでいませんでした。宛先の情報はメールアドレスと表示名がひとまとまりになった入れ子構造で扱われており、表示名はこの内側にあたります。そのため、外側の項目には無害化が適用される一方で、表示名はタグなどを含んだ文字列のままデータベースへ保存されていました。
(2) 管理画面でメールログの詳細を表示する処理において、宛先の情報をHTMLとして解釈させる形で画面に出力していました。一覧画面には表示前に無害化する処理が用意されていましたが、詳細画面で「前へ／次へ」を押して記録を読み込み直す経路にはその処理がなく、保存されていた文字列がそのままブラウザに渡っていました。
対策版では、保存時の無害化処理が入れ子の内側まで適用されるよう修正され、あわせて詳細画面の表示にも一覧画面と同じ無害化処理が追加されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.3.0 以降）へ更新してください。
- 被害の有無の確認（更新後に行ってください）
- 更新後、FluentSMTPの「Email Logs（メールログ）」の一覧を開き、
「To」欄に不自然な宛先名（HTMLタグのような記号を含む文字列）が記録されていないか確認してください。 - 一覧画面は単なる文字列として表示されるため、この確認作業自体が引き金になることはありません。日付範囲で絞り込みながら確認すると探しやすくなります。
- 該当する記録が見つかった場合は、そのログを削除してください。プラグインを更新しても、すでに保存されている記録は自動的には消えません。
- 更新後、FluentSMTPの「Email Logs（メールログ）」の一覧を開き、
- 追加のセキュリティ対策
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、スクリプトを含む入力の遮断に一定の効果があります。
ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、スクリプトを含む入力の遮断に一定の効果があります。
⇒不審な記録や、管理画面での身に覚えのない変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
FluentSMTP 2.2.95 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-16636 
（公開日 2026年8月6日 更新日 2026年8月6日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.2 (重大) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-16636 悪用確率 0.53% （上位55%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
FluentSMTP プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
