ログイン・会員登録フォームをポップアップなどで表示するプラグイン「Login & Register Forms – Popup, Slider, Profile & WooCommerce」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.0.1 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、管理者を含むユーザーのパスワードを変更し、アカウントを乗っ取るおそれがあります。
対策として、バージョン 4.0.2 以降への更新を推奨します。
脆弱性詳細
問題があるのは、パスワードを忘れたときに「確認コード」をメールで送り、そのコードで本人確認をしてから新しいパスワードを設定する機能です。
プラグイン設定でパスワードリセットの方式を「確認コード（Send Verification Code）」にしているサイトが対象です。初期設定の「リセット用リンクの送信（Send Reset Link）」を使っている場合は影響を受けません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- アカウントの乗っ取り
第三者がユーザーのパスワードを任意の値に変更し、そのユーザーとしてログインする可能性があります。対象が管理者であれば、サイトの設定変更やユーザー追加など、管理者と同じ操作を行われる可能性があります。 - その他の影響
確認コードのメールが、本人の操作なしに繰り返し送られることがあります。また、パスワードリセット画面の応答から、アカウントが存在するかどうかと、登録メールアドレスの一部を第三者に知られる可能性があります。
被害発生の条件
- パスワードリセットの方式が「確認コード」に設定されている
- ログインは不要（未認証の第三者でも成立）
そのうえで、次のいずれかに当てはまる場合に、乗っ取りに至る可能性があります。
- 対象ユーザーが直近24時間以内に、確認コードによるパスワードリセットを行っている
- 攻撃者が確認コードの推測を繰り返し、正しいコードを当てる（成功までには非常に多くの試行が必要です）
技術的な詳細
本人確認のしくみ
- パスワードリセットの手続き中、「どのユーザーに確認コードを送ったか」と「コードの確認が済んだか」を、サーバー側に一時的に保存しています。
- 新しいパスワードの設定時には、この「確認済み」の記録だけを見て、パスワードを変更していました。
問題点
- 一時的な記録は、ブラウザごとではなく、アクセス元のIPアドレス（インターネット上の住所にあたる番号）ごとに管理されていました。
- このIPアドレスは、リクエストに含まれる一部の情報から取得していたため、送信する側が自由に偽装できる状態でした。
- 「確認済み」の記録は、パスワード変更後も削除されずに残っていました。
- 確認コードの入力ミスや送信回数の上限も、同じくIPアドレスごとに数えていたため、IPアドレスを偽装することで制限を事実上回避できました。あわせて、確認コードの有効期限も約16時間と長く設定されていました。
- パスワードリセット画面では、入力したアカウントの有無によって異なる応答を返し、確認コードの送信先としてメールアドレスの一部を表示していました。
攻撃の大まかな流れ
- 攻撃者が、正規ユーザーのIPアドレスを偽装して、新しいパスワードの設定を要求する
- 正規ユーザーの「確認済み」の記録が残っていれば、確認コードを知らなくてもパスワードが変更される
- または、IPアドレスを次々に偽装しながら確認コードの推測を繰り返し、コードを当てることで同様の変更を行う
対策版での修正
バージョン 4.0.2 では、次の修正が行われています。
- 一時的な記録を、ブラウザごとに発行されるランダムな値（Cookie：ブラウザに保存される小さなデータ）にひも付ける方式に変更
- 「確認済み」の有効期限を10分とし、パスワード変更後はただちに記録を削除
- 入力ミスや送信回数の上限を、送信先のメールアドレスごとに数える方式に変更し、確認コードの有効期限を10分に短縮
- アカウントの有無にかかわらず同じ案内文を表示し、メールアドレスを表示しないように変更
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- 設定の確認とプラグインの更新
- 管理画面の「Login/Signup Popup」→「Settings」で、「Reset Password Email」の設定を確認してください。「Send Verification Code」になっている場合は本脆弱性の対象です。
- 速やかに、プラグインを対策バージョン（4.0.2 以降）へ更新してください。
- すぐに更新できない場合は、「Reset Password Email」を「Send Reset Link」に切り替えると、問題のある確認コード方式の処理が使われなくなります。
- 被害確認
- 管理画面の「ユーザー」で、身に覚えのない管理者アカウントが追加されていないか確認してください。
- 管理者や主要なユーザーが、これまでのパスワードでログインできるか確認してください。ログインできない場合は、パスワードを変更された可能性があります。
- ユーザーから「パスワードリセットの確認コードのメールが、身に覚えなく何度も届いた」という問い合わせがないか確認してください。メール送信ログを記録するプラグイン（WP Mail SMTP など）を使っている場合は、パスワードリセット用メールが短時間に大量に送られていないかも確認できます。
- Webサーバーのアクセスログで、
/wp-admin/admin-ajax.phpへの POST リクエストが、同じアクセス元から短時間に大量に送られていないか確認してください。
- セキュリティ対策の強化
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、短時間に大量に送られるリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 身に覚えのない管理者アカウントや、パスワードの変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Login & Register Forms – Popup, Slider, Profile & WooCommerce 4.0.1 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18468 
（公開日 2026年8月10日 更新日 2026年8月11日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
※ パスワードリセットの方式を「確認コード」に設定している場合が対象です。
脆弱性脅威度(EPSS)
CVE-2026-18468 悪用確率 0.38% （上位70%） 2026年10月7日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Login & Register Forms プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
