WordPressプラグイン「Log in with Google」に認証バイパスの脆弱性

攻撃者が用意した情報のメールアドレスと一致するアカウントで、ログインが成立するおそれがあります。成立した場合は通常のログインと同じ状態になるため、次のような影響が想定されます。

1. そのアカウントに与えられた権限の範囲で操作が行われる
2. とくに管理者アカウントが対象となった場合、管理画面での投稿・利用者・プラグイン・設定の操作が可能になる
3. Googleアカウントでの新規登録を許可し、登録できるメールアドレスのドメインを限定しているサイトでは、その制限を回避して新しい利用者アカウントが作成される

本脆弱性は、ログインさせるアカウントを判定する際に、メールアドレスが本人のものとして確認済みかどうかを確かめていなかったことが原因です。仕組みは次のとおりです。

1. Googleから受け取る利用者情報には、メールアドレスに加えて、そのメールアドレスが確認済みかどうかを示す情報が含まれる
2. プラグインの判定は、メールアドレスの値が登録済みの利用者と一致するかどうかのみで、確認済みかどうかは参照していない
3. そのため、確認が済んでいないメールアドレスを含む情報であっても受け入れられ、同じメールアドレスで登録されているWordPress利用者としてログインが成立する
4. 新規登録時のドメイン制限も、同じく確認済みかを問わないメールアドレスの値で判定していたため、本来の制限として機能しない

なお、受け取った情報が本当にGoogleから発行されたものかを確かめる仕組み（署名などの検証）は実装されており、この部分に問題はありません。

対策版では、ログイン受付処理の入口でメールアドレスが確認済みであることを必須とする判定が追加され、既存アカウントへのログインと新規登録の双方に適用されるようになっています。

CWE-287 不適切な認証（別経路を使用した認証バイパス） 

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（1.4.3 以降）へ更新してください。
   • 更新が完了するまでの間は、プラグインを停止するか、ワンタップログインの設定を無効にしたうえで、Googleログインボタンを設置している画面からボタンを外すことをご検討ください。Googleログインの受付が行われなければ、本脆弱性は成立しません。
2. 被害確認
   • 管理画面の「ユーザー」メニューを登録日順に並べ替え、身に覚えのない利用者アカウントが追加されていないか確認してください。とくに、Googleアカウントでの新規登録を許可しているサイトではご確認ください。
   • Webサーバーのアクセスログで、ログイン画面（wp-login.php）に対する code と state の値が付いたアクセスや、ワンタップログインを有効にしている場合は admin-ajax.php に対する validate_id_token を指定したPOSTアクセスに、不審な点がないか確認してください。いずれも正常なGoogleログインでも記録されるため、件数・送信元・時間帯が普段と異なっていないかという観点でご確認ください。
   • 更新後、管理者を含む各利用者のプロフィール画面から「他のすべての場所からログアウト」を実行してください。攻撃者のログイン状態が残っていた場合、これにより無効になります。本脆弱性はGoogleログインを経由して成立するため、パスワードを変更してもログイン状態は無効になりません。

⇒ 身に覚えのない利用者アカウントや、投稿・設定の変更が確認された場合は、WordPressの専門家への相談を推奨します。

Log in with Google 1.4.2 までのバージョン

CVE-2026-28185
（公開日 2026年8月13日 更新日 2026年8月13日）

基本値: 9.8 (緊急)  　[Wordfence]

CVE-2026-28185 悪用確率 0.27% （上位82%） 2026年10月7日時点 

（今後30日以内に悪用される確率 )