ログイン・ユーザー登録・パスワード再設定の画面をサイトのデザインに合わせて表示するプラグイン「Theme My Login」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 7.2.1 までのすべてのバージョンです。
マルチサイト（1つのWordPressで複数のサイトを運用する構成）で特定の設定を有効にしている場合、ログインしていない第三者によって、管理者を含む任意のユーザーのパスワードを変更され、アカウントを乗っ取られる可能性があります。
対策として、バージョン 7.2.2 以降への更新を推奨します。
脆弱性詳細
問題があるのは、パスワードを忘れた場合に使う「パスワード再設定（Lost Password）」の申請処理です。
攻撃にログインは不要で、対象のユーザー名またはメールアドレスがわかれば、そのユーザーが狙われる可能性があります。
想定される被害
攻撃が成功した場合、以下のような被害が想定されます。
- アカウントの乗っ取り：攻撃者が決めたパスワードに書き換えられ、そのアカウントで不正にログインされます。本来の利用者は、それまでのパスワードでログインできなくなります。
- ネットワーク全体の不正操作：特権管理者（マルチサイト全体を管理する最上位の管理者）が狙われた場合、全サイトの設定変更、ユーザーの追加・削除、プラグインやテーマの操作などを行われる可能性があります。
被害発生の条件
以下の条件がすべてそろった場合に、被害が発生する可能性があります。
- WordPressをマルチサイト構成で運用している
- Theme My Loginの設定で「Passwords（ユーザーに自分でパスワードを設定させる）」を有効にしている
通常の（マルチサイトではない）WordPressや、上記の設定を有効にしていないサイトでは、本脆弱性は成立しません。
技術的な詳細
新規登録用の処理が、既存ユーザーの更新時にも動いていた
マルチサイトでは、新規登録したユーザーが自分で決めたパスワードを、アカウント有効化のタイミングで保存する処理が組み込まれています。しかしこの処理は、ユーザー情報が保存されるたびに実行されており、新規登録か既存ユーザーの更新かを区別していませんでした。
送信された値を無条件にパスワードとして採用していた
リクエストに登録用のパスワード欄の値が含まれていれば、どの画面から送られたものかを確認せず、その値で保存対象ユーザーのパスワードを置き換えていました。
パスワード再設定の申請で、ユーザー情報の保存が発生する
パスワード再設定を申請すると、再設定用の確認キーを対象ユーザーに保存する処理が行われます。この保存の際に上記の処理が働くため、申請に細工を加えるだけで対象ユーザーのパスワードを書き換えられる状態でした。
悪用の大まかな流れ
- 狙うユーザーを指定したパスワード再設定の申請に、攻撃者が決めたパスワードを紛れ込ませて送信する
- 書き換えられたパスワードで、対象ユーザーとしてログインする
（模倣防止のため詳細は伏せています）
対策版での修正
バージョン 7.2.2 では、次の修正が行われました。
- 既存ユーザーの更新時には、パスワードを変更しないようにする
- アカウント有効化の処理中で、かつ入力チェックを通過したパスワードだけを使うようにする
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（7.2.2 以降）へ更新してください。
- すぐに更新できない場合は、ネットワーク管理画面のTheme My Login設定で「Passwords」を一時的に無効にすると、本脆弱性は成立しなくなります。（その間、新規登録したユーザーは自分でパスワードを設定できなくなります）
- 被害確認
- 特権管理者や管理者が、普段のパスワードでログインできるか確認してください。ログインできない場合は、パスワードを書き換えられている可能性があります。
- 管理者や利用者に、申請した覚えのない「パスワードリセット」のメールが届いていないか確認してください。攻撃を受けた場合も、このメールは本来の利用者に届きます。
- Webサーバーのアクセスログで、パスワード再設定ページ（
lostpasswordを含むURL）へのPOSTリクエストを確認してください。利用者が申請していない時間帯のアクセスや、同じ送信元からの繰り返しの送信が記録されている場合は注意が必要です。 - ネットワーク管理画面の「ユーザー」一覧に、見覚えのない特権管理者・管理者アカウントが追加されていないか確認してください。
- セキュリティ対策の強化（任意）
- 管理者アカウントに二要素認証（パスワードに加えてスマートフォンなどで本人確認する仕組み）を導入していれば、パスワードを書き換えられた場合でも不正ログインを防ぐ助けになります。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、本脆弱性を狙うリクエストの遮断に有効な場合があります。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 被害が疑われる場合は、該当アカウントのパスワードを再設定したうえで、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Theme My Login 7.2.1 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-89079 
（公開日 2026年10月16日 更新日 2026年10月16日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-89079 悪用確率 0.29% （上位79%） 2026年10月16日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Theme My Login プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
