WordPressプラグイン「Really Simple Security」に任意コード実行とログイン妨害の脆弱性

サーバー上への不正なプログラムの配置（CVE-2026-81766）

攻撃者が指定したファイルが、プラグインとしてサイトに取り込まれます。配置されたファイルはサーバー上で動作するプログラムとして扱われるため、サイト内のデータの読み取りや書き換えなど、サーバー上で行える操作が可能になります。

二要素認証を設定した利用者のログインが完了しない（CVE-2026-84775）

ログイン画面でパスワードを入力した後、確認コードを入力しても「Security nonce invalid or expired.（セキュリティ用の確認値が無効、または期限切れです）」といった表示が出て、ログイン画面に戻されます。繰り返し行われた場合、対象の利用者が管理画面に入れない状態が続く可能性があります。

サイトの表示自体や、二要素認証を使っていない利用者のログインには影響しません。

二要素認証が回避される（その他の修正）

パスワードを知る第三者が、二要素認証の確認を経ずにログインできる場合がありました。あわせて、利用者本人が確認コードを打ち間違えた際に、設定済みの二要素認証が「未設定」の状態に戻ってしまう動作も修正されています。

任意コード実行（CVE-2026-81766）

原因は次の2点です。

• 取得元の指定が、ブラウザを経由して受け渡される作りだった
  Pro版のインストールは複数の手順に分かれており、ライセンス確認で得たファイルの取得元をいったんブラウザへ返し、次の手順でサーバーへ送り返す構成になっていました。この経路で、取得元を別のものに差し替えられる状態でした。送り返された値については、URLとして不正な文字を取り除く処理だけが行われており、接続先を制限する確認はありませんでした。
• プラグインを追加する権限が確認されていなかった
  インストールを実行する処理では、このプラグイン独自の管理権限だけを確認しており、WordPress標準の「プラグインのインストール」権限は確認していませんでした。同じファイル内の別の処理では標準権限の確認が行われており、インストール処理だけが漏れていた形です。

対策版では、取得元をブラウザに渡す手順そのものが廃止され、サーバー側で取得した値を直接使う方式に変更されました。あわせて、インストールを実行する処理と、インストール前にフォルダを確認する処理の両方に、WordPress標準の権限確認が追加されています。

ログイン妨害（CVE-2026-84775）

二要素認証の手続きでは、パスワード確認を通過した利用者ごとに、一時的な確認用の値（ログイン手続きの途中であることを示す、使い捨ての値）が保存されます。

• 確認に失敗しただけで、利用者の一時的な値を消していた
  この値の照合処理は、値が一致しなかった場合にも、保存されている値を削除していました。削除の対象は、リクエストで指定された利用者IDに紐づくものです。そのため、第三者が任意の利用者IDと適当な値を送るだけで、その利用者がログイン手続きの途中で保持している値を消せる状態でした。
• 一部のAPIに回数制限がなかった
  この照合処理を呼び出すAPIは複数あり、一部には送信元ごとの回数制限が設けられていましたが、残りには制限がありませんでした。

対策版では、値が一致しなかった場合は削除を行わず、そのまま処理を終えるよう変更されました。削除されるのは、値は正しいものの有効期限を過ぎていた場合に限られます。

二要素認証に関するその他の修正

• 初回設定を完了させるAPIが、設定済みの状態でも動作していた
  メール方式の二要素認証には、初回設定を完了させるためのAPIがあります。このAPIは、すでに設定が完了している利用者に対しても処理を行っていました。確認コードが一致しなかった場合に設定状態を「未設定」へ戻す動作を持つため、設定済みの状態が解除される結果になっていました。対策版では、設定がすでに完了している場合は動作しないよう変更されています。
• XML-RPC・REST API 経由のログインで、二要素認証の遮断が働いていなかった
  二要素認証を有効にした利用者について、これらの経路でのログインを遮断する処理は用意されていました。しかし、その処理がWordPress本体のパスワード確認より先に動く順序で登録されていたため、判定を行う時点ではログインするユーザーがまだ確定しておらず、遮断が一度も行われていませんでした。対策版では、本体の確認処理より後に動くよう順序が修正されました。あわせて、アプリケーションパスワード（API利用のために個別に発行する専用のパスワード）で認証された場合のみ利用を許可するよう変更されています。