メールマガジンの配信や購読者管理を行うプラグイン「AcyMailing」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 11.0.4 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者によって、サーバー内に置かれたファイルの内容を読み取られる可能性があります。ただし、悪用にはプラグインの「画像埋め込み」機能が有効になっていることが前提となります。
対策として、バージョン 11.0.5 以降への更新を推奨します。
脆弱性詳細
問題があるのは、送信するメールに画像を埋め込む処理です。この処理は、メール本文に書かれた画像の指定先をサーバー内のファイルの場所へ変換し、その中身をメールに取り込みます。
この「指定先」に、購読フォームなどから外部の第三者が値を差し込める状態にあったため、本来は公開対象でないファイルの場所を指定される可能性がありました。読み取られるのは、このファイルに含まれる情報です。
想定される被害
この脆弱性が悪用された場合、以下の被害が想定されます。
- サーバー内に置かれたファイルの内容が読み取られる（設定ファイルやログなど、外部に見せることを想定していない情報が含まれる場合があります）
読み取りに限られる問題で、ファイルの書き換えやサイトの改ざん、機能停止につながる挙動は確認されていません。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- プラグインの「画像埋め込み（Embed images）」機能が有効になっている（この機能は初期状態では無効です）
- サイトの公開画面に購読（登録）フォームを設置しており、ログインしていない訪問者でも送信できる状態になっている
攻撃はフォームの送信を通じて行われ、サイト運営者の操作は必要ありません。
技術的な詳細
ファイルの場所の指定に検証が不足していた
画像の指定先をサーバー内のファイルの場所へ変換する処理で、上位階層をさかのぼる記述（親ディレクトリへの移動）が取り除かれておらず、変換後の場所がプラグインの想定する範囲内に収まっているかも確認されていませんでした。このため、想定外の場所にあるファイルを指定できる状態でした。
画像かどうかを拡張子だけで判断していた
取り込む対象が本当に画像かどうかを、ファイル名の拡張子だけで判断しており、ファイルの中身は確認していませんでした。このため、画像以外のファイルも取り込みの対象になり得ました。
攻撃の流れ（概略）
- 攻撃者が、公開されている登録フォームから細工した内容を送信する
- その内容に、サーバー内のファイルの場所を指し示す細工が含まれる
- 画像埋め込み処理が、その場所を画像と誤認してファイルを読み込む
- 読み込まれた内容が、攻撃者側に渡る
対策版での修正
バージョン 11.0.5 では、取り込む対象を「プラグインの想定する範囲内にある実在のファイル」に限定し、上位階層をさかのぼる記述を拒否したうえで、ファイルの中身を確認して実際に画像である場合のみ取り込むよう変更されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（11.0.5 以降）へ更新してください。
- 設定の確認（更新までの間の緩和策）
- AcyMailingの設定で「画像埋め込み（Embed images）」機能をご確認ください。この機能が無効であれば、本脆弱性の前提条件を満たしません。すぐに更新できない場合は、一時的に無効へ切り替えることで悪用を避けられます。
- 被害確認
- サーバーのアクセスログで、購読（登録）処理宛ての送信（「task=subscribe」）のうち、名前欄（「user[name]」）に上位階層をさかのぼる記述（「../」やそのエンコード表記「%2e%2e」）、あるいは「src=」「background=」といった記述を含む不審なアクセスがないかご確認ください。
- 上記のような記録が見当たらず、かつ「画像埋め込み」機能を有効にしていない場合は、本脆弱性の影響を受けません。
- WAFによる緩和
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入している場合、上位階層をさかのぼる記述を含む通信の検知に有効なことがあります。ただし、すべての攻撃を確実に防げるわけではないため、根本的な対策となる更新を優先してください。
⇒ 不審なアクセスや情報の持ち出しが疑われる場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
AcyMailing 11.0.4 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-77807 
（公開日 2026年9月10日 更新日 2026年9月11日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.5 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-77807 悪用確率 0.68% （上位50%） 2026年9月13日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
AcyMailing プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
WordPress プラグイン AcyMailing 情報
| 最新版 バージョン | 11.0.5 |
|---|---|
| 対象 WordPress バージョン | 5.8 またはそれ以降 検証済み最新バージョン : 7.1 |
| 有効インストール数 | 5,000+ |
| 関連 ページ |
プラグインページ
|
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
