WordPressでコンテンツやファイルへのアクセス制限（閲覧できる利用者の管理）を行うプラグイン「User Access Manager」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.3.15 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者によって、サーバー上に保管された本来公開されていないファイルの内容を読み取られる可能性があります。
対策として、バージョン 2.3.16 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、アクセス制限されたファイルを受け渡す「ファイル配信機能」に存在します。
この機能はログインの有無を問わず誰でも利用できる状態にあり、その中で、本来想定していないファイルが配信対象として指定され得る状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
サーバー内ファイルの情報漏洩（読み取り）
- 本来Web上に公開されていないサーバー内のファイルの内容が、第三者に読み取られる可能性
- 設定情報など、機微な情報を含むファイルが対象となり得る（対象となるのは、Webサーバーが読み取り可能な範囲のファイルに限られます）
※本脆弱性で確認されているのはファイルの「読み取り」であり、ファイルの書き換えやプログラムの実行を伴うものではありません。
被害発生の条件
- 攻撃者がサイトにアクセスできる状態であること（ログインの有無は問いません）
管理者やユーザーの操作を介さずに、外部から直接攻撃を受ける可能性があります。
技術的な詳細
本脆弱性は、ファイル配信機能が「どのファイルを渡すか」を決める処理に原因があります。本来は、登録済みの添付ファイルの情報をもとに配信対象を特定し、そのファイルが所定の保管場所（アップロード用フォルダ）の内側にあることを確認すべきでした。
しかし該当バージョンでは、外部から送られてきた値をもとに配信するファイルの場所を組み立てており、そのファイルが保管場所の内側に収まっているかの確認が行われていませんでした。さらに、閲覧してよいかを判定する対象と、実際に配信されるファイルが食い違う状態になり得たため、公開されているファイルに対する確認だけが通り、実際には別のファイルが渡されてしまう可能性がありました。
対策版では、配信対象を登録情報から取得したうえで、そのファイルが保管場所の内側にあることを検証する処理が追加されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.3.16 以降）へ更新してください。
- 被害確認
- Webサーバーのアクセスログを確認し、リクエストに「uamgetfile」を含み、かつ上位フォルダをたどろうとする不自然な文字列を伴うアクセスがないか確認してください。
- 該当するアクセスにサーバーが正常応答（ステータス200）を返している場合、ファイルが読み取られた可能性があります。
- 追加のセキュリティ対策
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、この種の不正なファイル要求の遮断に有効です。ただしWAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒心当たりのないアクセスが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
User Access Manager 2.3.15 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18352 
（公開日 2026年8月1日 更新日 2026年8月3日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.5 (重大) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-18352 悪用確率 1.00% （上位37%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
User Access Manager プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
