Google や GitHub などの外部サービスを使ったWordPressへのログインと、ログインできる利用者の許可リスト管理を行うプラグイン「Authorizer」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.15.1 までのすべてのバージョンです。ただし、対象となるのは、接続先の外部サービスとして GitHub を設定しているサイトに限られます。
本脆弱性を悪用された場合、ログインしていない第三者に、サイトに登録されている利用者のアカウント（管理者を含む）でログインされるおそれがあります。
対策として、バージョン 3.15.2 以降への更新を推奨します。
なお、対策バージョンでは管理者がログインできる条件が変わるため、更新の前に確認していただきたい点があります（「推奨対応事項」を参照）。
脆弱性詳細
問題があるのは、GitHubから受け取った利用者情報をもとに、どのWordPressアカウントとしてログインさせるかを判定する処理です。
影響を受けるのは、Authorizer の許可リスト（Approved Users）に登録されている利用者と、管理者アカウントです。管理者アカウントは、許可リストに登録されていない場合でも対象となります。
想定される被害
攻撃者が指定したメールアドレスと一致する既存アカウントとして、ログインが成立するおそれがあります。成立した場合は通常のログインと同じ状態になるため、以下のような被害が想定されます。
アカウントの乗っ取りに関する影響
- そのアカウントに与えられた権限の範囲で操作が行われる
- とくに管理者アカウントが対象となった場合、管理画面での投稿・利用者・プラグイン・設定の操作が可能になる
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- サイトがOAuth2ログインを有効にし、接続先の外部サービスとして GitHub を設定している
- 攻撃者が、対象サイトの利用者（管理者を含む）のメールアドレスを把握している
- 攻撃者が、そのメールアドレスを自身のGitHubアカウント側に用意したうえで、サイトのGitHubログインを実行する
攻撃者側にサイトへの登録やログインは不要で、利用者や管理者の操作も必要ありません。
今回修正されたのは GitHub 向けの処理です。接続先として Google、Microsoft Azure、CAS、LDAP、OpenID Connect のみを利用しているサイトは、この処理を通りません。任意のOAuth2サービスを手動で設定している場合については、後述の「推奨対応事項」をご確認ください。
技術的な詳細
本脆弱性は、GitHubから取得したメールアドレスについて、本人のものとして確認済みかどうかを確かめていなかったことが原因です。仕組みは次のとおりです。
メールアドレスの確認状態が参照されていなかった
- GitHubログインでは、まず公開設定になっているメールアドレスを取得します。取得できなかった場合は、そのアカウントに登録されているメールアドレスの一覧をGitHubから改めて取得します
- この一覧には、メールアドレスごとに「本人確認が済んでいるかどうか」を示す情報が含まれています
- 3.15.1 までは、この情報を参照せず、一覧に含まれるメールアドレスをすべてログイン用の識別子として採用していました
- その結果、本人確認が済んでいないメールアドレスであっても、同じメールアドレスで登録されているWordPress利用者としてログインが成立する状態となっていました
管理者には許可リストの照合が行われていなかった
加えて、上記の問題による影響を大きくする要因が、もう1点ありました。
- Authorizer は、外部サービスでの認証が済んだ利用者について、許可リスト（Approved Users）に登録されているかどうかを照合してからログインを確定させます
- 3.15.1 までは、対象が管理者アカウントの場合に限り、この照合を行わずにログインを確定させる処理がありました
- そのため管理者アカウントに対しては、プラグイン本来のアクセス制御が働かない状態でした
対策版での修正
- 本人確認が済んでいるメールアドレスのみを採用するよう変更されました
- 管理者についても、許可リストとの照合を必ず行うよう変更されました
- 接続先として、GitHub や Google のようなあらかじめ用意された選択肢ではなく、任意のOAuth2サービスを手動で設定している場合（設定画面での選択肢名は generic）に、本人確認済みのメールアドレスを必須とする設定項目（Require verified email）が追加されました。初期状態では無効です
脆弱性の種類
CWE-287 不適切な認証 
（メールアドレスの確認状態を検証しない認証バイパス）
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- 更新前の確認
- 対策バージョンでは、管理者アカウントも許可リスト（Approved Users）に登録されていないと、外部サービス経由でのログインができなくなります。
- 更新の前に、WordPress管理画面の Authorizer 設定の「Access Lists」タブを開き、ご自身を含む管理者のメールアドレスが「Approved Users」に登録されているか確認してください。
登録されていない場合は追加してから更新してください。 - Authorizer の設定で WordPress標準のログインを無効にしている場合、許可リストに登録されていない管理者は、更新後に管理画面へ入る手段がなくなります。更新前の確認をとくにお願いします。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.15.2 以降）へ更新してください。
- 更新が完了するまでの間、GitHub を接続先として設定している場合は、Authorizer 設定の「External Service」タブから OAuth2 ログインを一時的に無効にすることをご検討ください。GitHubログインの受付が行われなければ、本脆弱性は成立しません。
- 被害確認
- Webサーバーのアクセスログで、ログイン画面（wp-login.php）に対する external=oauth2 を含むアクセスを検索してください。GitHubログインはこのURLで受け付けられるため、正常なログインでも記録されます。件数・送信元・時間帯が普段と異なっていないかという観点でご確認ください。
- 管理画面の「ユーザー」メニューを登録日順に並べ替え、身に覚えのない利用者アカウントが追加されていないか確認してください。「Who can log into the site?」の設定を「All authenticated users」にしているサイトでは、「Access Lists」タブの「Approved Users」にも身に覚えのないメールアドレスが追加されていないか、あわせてご確認ください。
- 更新後、管理者を含む各利用者のプロフィール画面から「他のすべての場所からログアウト」を実行してください。攻撃者のログイン状態が残っていた場合、これにより無効になります。本脆弱性は外部サービス経由のログインで成立するため、パスワードを変更してもログイン状態は無効になりません。
- 任意のOAuth2サービスを手動で設定している場合（任意）
- 接続先を手動で設定している場合（設定画面での選択肢名は generic）、更新後に設定項目「Require verified email」を有効にすると、本人確認済みのメールアドレスのみでログインを受け付けるようになります。接続先のサービスが本人確認の状態を提供している場合にご検討ください。
⇒身に覚えのない利用者アカウントや、投稿・設定の変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Authorizer 3.15.1 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-81294
（公開日 2026年9月2日 更新日 2026年9月2日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-81294 悪用確率 0.33% （上位74%） 2026年9月13日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Authorizer プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
