WordPressでサイトを多言語化するプラグイン「TranslatePress – Multilingual」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.3.1 までのすべてのバージョンです。
本脆弱性により、ログインしていない第三者が、プラグインの翻訳データを外部から読み出せる状態にありました。条件が重なった場合には、パスワード再設定用のリンクが読み出され、管理者アカウントを乗っ取られるおそれがあります。
対策として、バージョン 3.3.2 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、翻訳した文章を取り出すために用意された、プラグインの翻訳データ取得機能（ブラウザからの問い合わせを受け付ける処理）に存在します。影響を受けるのは、翻訳先の言語を設定して公開している多言語サイトです。
攻撃者はサイトにアクセスできる状態であれば十分で、ログインや利用者側の操作は必要ありません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
翻訳データの読み出しに関する影響
- 翻訳データの保管場所に蓄えられている文章が、ログインしていない第三者に読み出される
- ここには、サイト上に表示された文章のほか、プラグインの設定によっては通知メールの本文が取り込まれている場合があります
管理者アカウントの乗っ取り
- 保管された文章の中にパスワード再設定用のリンクが含まれていた場合、そのリンクを使って管理者のパスワードを変更されるおそれがあります
- 管理者アカウントを奪われた場合、サイトの設定変更や内容の書き換えなど、サイト全体に影響が及ぶ可能性があります
被害発生の条件
以下の条件が重なった場合に、パスワード再設定リンクの読み出しによる被害が発生する可能性があります。
- 翻訳した文章を自動的に保存する設定が有効になっている（初期設定では有効です）
- 管理者のプロフィールで使用言語が、既定の言語ではなく翻訳先の言語に設定されている
- その状態で、管理者宛にパスワード再設定のメールが送信されたことがある
上記の条件が揃わない場合でも、翻訳データそのものが第三者に読み出される点は変わりません。
技術的な詳細
本脆弱性は、次の2つの問題が重なって発生していました。
① 翻訳データの取得機能が、誰でも利用できる状態だった
プラグインには、ページ表示後に追加された文章を翻訳するため、必要な翻訳を問い合わせる機能が用意されています。この取得処理には次の2つの検索経路がありました。
- 文章そのもので検索する経路 … サイト内部のURLを検索対象から除外する処理あり
- 保管場所の通し番号で検索する経路 … 保存された文章1件ごとに割り振られた番号で指定する方法。除外処理なし
通し番号による検索には除外処理が適用されていなかったため、番号を順に指定するだけで、保管されている文章を制限なく取り出せる状態でした。
さらに、この取得処理の利用を制限するはずの仕組みも十分に機能していませんでした。
- 利用にあたっては、正当なリクエストであることを示す確認用の値（いわゆるトークン）が必要ですが、その値は翻訳対象のページ内に出力されており、ページのソースを閲覧すれば誰でも取得できる状態でした
- 取得処理そのものが、ログインしていない訪問者にも開放されており、権限による制限が働いていませんでした
② パスワード再設定メールの本文が、翻訳データとして保存されていた
プラグインには、受信者の使用言語に合わせてメールを翻訳する機能があり、この処理は翻訳データの保管場所への書き込みも行います。
- 翻訳の対象となる文章には、通常あらかじめ目印が付けられます
- しかしログイン画面から送信されるメール（パスワード再設定メールなど）には、この目印が付きません
- 目印のない本文は、各行がそのまま翻訳対象の文章として扱われ、再設定用リンクを含む行が保管場所に書き込まれる状態となっていました
この①と②が重なることで、保管されたパスワード再設定リンクを、ログインしていない第三者が取り出せる状況が成立していました。
③ 対策版での修正内容
- 通し番号による検索を行わない専用の取得処理を、ログインしていない訪問者向けに新設
- 従来の取得処理は、翻訳権限を持つ利用者に限定
- ログイン画面や管理画面から送信されるメールは、翻訳処理の対象外に変更
脆弱性の種類
CWE-640 パスワード再設定機構の脆弱性 
（機密情報の漏えいに起因）
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.3.2 以降）へ更新してください。
- 被害確認
- WordPress管理画面の「ユーザー」から、管理者権限を持つアカウントに身に覚えのないものが無いか、また各アカウントのメールアドレスが変更されていないか確認してください。
- WordPress管理画面の「設定」→「TranslatePress」から翻訳エディターを開き、翻訳対象の文章としてサイトのログイン用URL（
wp-login.phpを含む文字列）や、action=rp・key=といった文字を含む行が登録されていないか検索してください。該当する行が見つかった場合、パスワード再設定リンクが保管されていたことを示します。その行を削除したうえで、管理者アカウントのパスワードを変更してください。 - Webサーバーのアクセスログで、
admin-ajax.phpに対するtrp_get_translations_regularを含むリクエストが、同一の送信元から短時間に多数記録されていないか確認すると、悪用の痕跡を把握しやすくなります。
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、本脆弱性を狙うリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 身に覚えのない管理者アカウントやパスワードの変更が確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
TranslatePress – Multilingual 3.3.1 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-19632
（公開日 2026年8月26日 更新日 2026年8月26日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-19632 悪用確率 0.79% （上位47%） 2026年8月28日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
TranslatePress – Multilingual プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
