WordPressでリンク集を作成・表示するプラグイン「Link Library」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 7.9.4 までのすべてのバージョンです。
本脆弱性を悪用された場合、訪問者が投稿したリンクを管理者が却下・削除した際に、サーバー上の無関係なファイルが削除される可能性があります。
対策として、バージョン 7.9.5 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、リンクを削除する際に、あわせてサーバー上のファイルも削除する機能において、削除する対象がどこにあるファイルなのかを十分に確認できていなかった点に起因します。この機能は初期状態では無効です。影響を受けるのは、この設定を有効にしており、かつ訪問者からのリンク投稿を受け付けているサイトに限られます。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
サーバー上のファイルが削除される
- リンクに紐づくファイルではなく、攻撃者が指定したサイト内の別のファイルが削除されます
- サイトの動作に必要なファイルが削除された場合、サイトが正常に表示されなくなります
被害発生の条件
以下のすべてに当てはまる場合に、被害が発生します。
- 「リンク削除時にファイルも削除する」オプションを有効にしている
- ログインしていない訪問者からのリンク投稿を受け付けている
- 投稿された不審なリンクを、管理者が却下または削除する
3つ目は特別な操作ではなく、投稿を確認して不要なものを却下する日常的な作業がそのまま該当します。ファイルの削除は、リンクが投稿された時点ではなく、この却下・削除の時点で実行されます。
技術的な詳細
削除するファイルの位置は、リンクのアドレスからアップロード先フォルダー以降を取り出し、サーバー上のアップロードフォルダーの場所につなぎ合わせて決めていました。
このとき、上位のフォルダーへさかのぼる表記が取り除かれないため、アップロードフォルダーの外側を指し示せる状態でした。
範囲内かどうかを判定する処理もありましたが、サーバー上の保存場所とWeb上のアドレスという形式の異なる文字列を比較しており、判定は常に「問題なし」として扱われていました。
対策版では、この自動削除機能そのものが取り除かれています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（7.9.5 以降）へ更新してください。
- 更新までの暫定対応
- 「Global Options（グローバルオプション）」画面の「Delete file if link points to local file（リンクがサイト内のファイルを指している場合、そのファイルも削除する）」のチェックを外してください。
- 無効であれば、本脆弱性による削除処理は動作しません。
- 被害確認
- リンク一覧の「URL」列で、リンク先に「../」のような上位フォルダーへさかのぼる表記を含む登録がないか確認してください（承認待ちは「Moderate」画面）。
- 該当するリンクは、更新または上記2を行うまで削除・却下しないでください。削除操作そのものが引き金となります。
- サイトの表示や、管理画面へのログインに異常がないか確認してください。
- 追加のセキュリティ対策
- リンク投稿をログイン済みユーザーのみに限定すると、投稿できる相手を絞れます。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）は、上記のような表記を含むリクエストの遮断に有効です。ただし確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒身に覚えのないファイルの消失やサイトの不具合が確認された場合は、バックアップからの復元とあわせて、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Link Library 7.9.4 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18855 
（公開日 2026年8月15日 更新日 2026年8月15日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.1 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-18855 悪用確率 1.21% （上位34%） 2026年8月16日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Link Library プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
