WordPressのログインやフォームに、メールやSMSで送られる確認コード（ワンタイムパスワード。以下OTP）による本人確認を追加するプラグイン「miniOrange OTP Login, Verification and SMS Notifications」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 5.5.1 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者によって、管理者を含む任意のアカウントのパスワードを本人確認を経ずに再設定される可能性があります。
対策として、バージョン 5.5.2 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、会員機能を提供するプラグイン「Ultimate Member」のパスワード再設定フォームに、本プラグインでOTPによる本人確認を追加している場合に発生します。
このパスワード再設定の手続きにおいて、OTPによる本人確認を実際に通過したかどうかに関わらず、送信されたユーザー名のアカウントについて再設定が進んでしまう状態にありました。
そのため、ログインしていない第三者であっても、管理者などのユーザー名を指定するだけで、そのアカウントのパスワード再設定を進められる状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
アカウントの乗っ取り
- 管理者を含む、サイトに登録されている任意のアカウントのパスワードを再設定される
- 管理者アカウントが乗っ取られた場合、管理者として可能な操作が第三者によって行われる可能性
被害発生の条件
以下の条件がそろっている場合に、被害が発生する可能性があります。
- 「Ultimate Member」プラグインを併用している
- 本プラグインの設定で、Ultimate Memberのパスワード再設定フォームに対するOTP認証を有効にしている
上記の条件下では、攻撃者がサイトにアクセスできる状態であれば、管理者や利用者の操作を待つことなく攻撃が成立します。ログインしていない状態でも悪用される恐れがあります。
逆に、Ultimate Memberを使用していない場合や、パスワード再設定フォームへのOTP認証を有効にしていない場合は、この処理自体が動作しないため影響を受けません。
技術的な詳細
パスワード再設定の手続きが正しく進むためには、本来「確認コードを受け取れた本人であること」の確認が前提になります。しかし対象バージョンでは、実行処理において次の2点が検証されていませんでした。
- OTPによる本人確認がその時点で完了しているか
- 本人確認を行ったアカウントと、再設定しようとしているアカウントが同一か
唯一の確認手段として使われていたのは、リクエストが正規のフォームから送られたことを示すための値（いわゆるCSRF対策用のトークン）でした。しかしこの値はパスワード再設定ページを開けば誰でも取得できる性質のものであり、第三者からの直接のリクエストを防ぐ役割は果たしていませんでした。
また、Ultimate Member本来の処理では、パスワード再設定用のリンクは本人のメールアドレス宛にのみ送信され、フォームを送信した相手には「メールを確認してください」という案内が表示される仕組みになっています。
ところが本プラグインは、この本来の処理より先に割り込んで独自の処理を行い、再設定用のリンクをリクエストの送信元にそのまま返していました。そのため、本人のメールを受け取ることなく、パスワード再設定の画面へ直接進める状態となっていました。
対策版（5.5.2）では、OTPによる本人確認が完了していること、および本人確認を行ったアカウントと再設定対象が一致していることの検証が追加され、あわせて一度使用した本人確認の情報を無効化する処理が実装されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（5.5.2 以降）へ更新してください。
- すぐに更新できない場合の暫定対応
- 本プラグインの設定画面で、Ultimate Memberのパスワード再設定フォームに対するOTP認証を一時的に無効にしてください。
この設定が無効の場合、該当の処理は動作しません。 - 更新が完了したら、設定を元に戻してください。
- 本プラグインの設定画面で、Ultimate Memberのパスワード再設定フォームに対するOTP認証を一時的に無効にしてください。
- 被害確認
- 身に覚えのないパスワード再設定メールの有無
この脆弱性が悪用されると、対象となったアカウントのメールアドレス宛に、Ultimate Memberからパスワード再設定の案内メールが送信されます。
まず管理者ご自身のメールボックスに、申請した覚えのない再設定メールが届いていないかご確認ください。サイト利用者にも、同様のメールが届いていないか呼びかけることを推奨します。 - アカウントの棚卸し
WordPress管理画面の「ユーザー」メニューから、身に覚えのない管理者アカウントが追加されていないか、また既存アカウントの権限が変更されていないかを確認してください。 - アクセスログの確認
サーバーのアクセスログで、Ultimate Memberのパスワード再設定ページ宛のPOSTリクエストを確認してください。ログにリクエスト内容が記録されている場合は、_um_password_resetおよびusername_bという項目名が手がかりになります。
ただしこれらは正規の再設定要求にも含まれる項目のため、短時間に集中していないか、特定の送信元に偏っていないか、管理者のユーザー名が繰り返し指定されていないかといった観点で判断してください。 - パスワードの再設定とログイン状態の解除
上記のいずれかで不審な点が見つかった場合は、更新完了後に管理者アカウントのパスワードを変更してください。
あわせて、WordPress管理画面の「ユーザー」→「プロフィール」にある「他の場所からログアウト」を実行し、第三者が保持している可能性のあるログイン状態を解除してください。
- 身に覚えのないパスワード再設定メールの有無
⇒不審なアカウントや意図しない設定変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
miniOrange OTP Login, Verification and SMS Notifications 5.5.1 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-61967 
（公開日 2026年8月13日 更新日 2026年8月13日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-61967 悪用確率 0.48% （上位59%） 2026年10月22日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
miniOrange OTP Login, Verification and SMS Notifications プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
