本文へ移動
Centoculus
ja

セキュリティ警告 · 重要

WordPressプラグインの脆弱性：NextGEN Galleryを含む7つのプラグイン

· 読了目安 1 分 · Centoculus Security Team

から既知

影響を受けるもの: WordPressプラグイン：Widget Options、SureDash、Everest Forms、Drag and Drop File Upload for Elementor Forms、NextGEN Gallery、Ultra Addons for Contact Form 7、Gutenverse Form

7つのWordPressプラグインにおける計8件の脆弱性が、2026年11月10日から13日にかけて公表されました。CVSSスコア8.8の最も深刻な脆弱性は、Widget OptionsとSureDashに影響します。このリストで最も広く使われているプラグインはNextGEN Galleryで、有効インストール数は30万件です。いずれの脆弱性も、実際に悪用されたとの報告はありません。

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets（有効インストール数10万件）

コードインジェクションの欠陥により、Author権限以上でログインしているユーザーがPHP式を注入でき、その式はフロントエンドのページが表示されるたびに実行されます。これにより、サイトの設定データが露出するおそれがあります。別のプラグインが許可された関数リストを拡張している場合は、無制限のコード実行へと発展するおそれもあります。寄稿者も、管理者または編集者が後から投稿を公開した場合には、この脆弱性を悪用できます。バージョン4.2.6.1までのすべてのバージョンが影響を受けます（CVE-2026-116615、CVSS 8.8）。最新バージョンに更新してください。更新が提供されていない場合は、プラグインを無効化して削除してください。

SureDash – Community, Courses & Member Dashboard（有効インストール数1,000件）

権限昇格の欠陥により、Portal Manager以上の役割でログインしているユーザーが、新規登録時のデフォルトの役割を管理者に変更し、その後、完全な管理者アカウントを登録できます。バージョン1.13.0までのすべてのバージョンが影響を受けます（CVE-2026-123769、CVSS 8.8）。最新バージョンに更新するとともに、ユーザー一覧およびプラグインのデフォルト役割の設定に想定外の変更がないかを確認してください。

Everest Forms（有効インストール数9万件）

このプラグインには2件の欠陥があります。CVE-2026-120513（CVSS 8.2）では、Save-and-Continueアドオンが有効で、対象フォームで「Disable storing entry information」が有効になっている場合に、認証されていない訪問者がバージョン3.6.2までのwp-content/uploads内のファイルを削除できます。CVE-2026-115483（CVSS 7.5）では、認証されていない訪問者が、バージョン3.6.3までのwp-config.phpなど任意のファイルを読み取れます。この脆弱性を悪用するには、Everest Forms Proアドオンと、ファイル添付が有効で署名タイプのフィールドを含むフォームが必要です。最新バージョンに更新してください。更新先は3.6.3より新しいバージョンである必要があります。

Drag and Drop File Upload for Elementor Forms（有効インストール数1,000件）

remove_file関数における任意ファイル削除の欠陥により、認証されていない訪問者がサーバー上のファイルを削除できます。wp-config.phpなどのファイルが削除されると、リモートコード実行につながるおそれがあります。この欠陥は、「yeepdf_not_save」のプライバシーオプションが有効な場合に到達可能です。バージョン1.6.2までのすべてのバージョンが影響を受けます（CVE-2026-124218、CVSS 8.2）。最新バージョンに更新してください。

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery（有効インストール数30万件）

handle_job関数における任意ファイル削除の欠陥により、「NextGEN Manage gallery」の権限を持つログイン済みユーザーが、サーバー上のファイルを削除できます。wp-config.phpなどのファイルが削除されると、リモートコード実行につながるおそれがあります。この権限は初期設定では管理者に付与されていますが、プラグインのRolesの画面で下位の役割に委任することができます。バージョン4.5.5までのすべてのバージョンが影響を受けます（CVE-2026-118191、CVSS 8.1）。最新バージョンに更新するとともに、この権限が付与されている役割を確認してください。

Ultra Addons for Contact Form 7（有効インストール数6万件）

ディレクトリトラバーサルの欠陥により、認証されていない訪問者がサーバー上の任意のファイルを読み取れます。機密情報が含まれている場合があります。悪用するには、PDF Generatorアドオンが有効で、対象フォームでPDF本文テンプレートが有効になっている必要があります。バージョン3.5.54までのすべてのバージョンが影響を受けます（CVE-2026-100386、CVSS 7.5）。最新バージョンに更新してください。更新が提供されていない場合は、プラグインを無効化して削除してください。

Gutenverse Form（有効インストール数1万件）

CSV数式インジェクションの欠陥により、認証されていない訪問者がフォームの送信を通じて表計算ソフトの数式を保存できます。その数式は、管理者がエクスポートされたCSVファイルを開いた際に実行され、データの持ち出しや管理者の端末上でのコマンド実行につながるおそれがあります。バージョン3.2.2より前のバージョンが影響を受けます（CVE-2026-124018、CVSS 7.1）。バージョン3.2.2以降に更新するとともに、以前にエクスポートされたCSVファイルは慎重に取り扱ってください。

サイトの確認方法

WordPressのダッシュボードで、各サイトのプラグイン > インストール済みプラグインを開き、インストールされているバージョンを上記の一覧と照合してください。WP-CLIを使用する場合は、wp plugin listを実行すると、すべてのプラグインのバージョンと利用可能な更新を確認できます。その後、wp plugin update <plugin-slug>で更新してください。インストールされているものの必要のないプラグインは、無効化して削除してください。

出典

その他の出典（13）

関連記事

警告 ·

Citrix NetScaler ADC および Gateway：重大なメモリの脆弱性によりサービス拒否のおそれ（CVE-2026-120868）

Citrix は、サービス拒否につながるおそれのある重大なメモリの脆弱性9件を、NetScaler ADC および NetScaler Gateway で修正しました。CVE-2026-120868 はすべての導入環境に影響します。14.1-73.57、13.1-64.39 またはそれに対応する FIPS ビルドへの更新が必要です。

警告 ·

PostgreSQL CVE-2026-6460：オブジェクトを作成できるデータベースユーザーがサーバー上でコードを実行できる問題

PostgreSQL 18.7、17.12、16.16、15.20、14.25 では、CVE-2026-6460 を含む 51 件の脆弱性が修正されています。オブジェクトを作成できるデータベースユーザーは、PostgreSQL を実行しているオペレーティングシステムのユーザーとしてコードを実行できます。サーバーと C 言語拡張機能は同時に更新してください。

警告 ·

Node.js：HTTP/2とHTTPSの脆弱性により、クライアントがサーバーをクラッシュさせ、他のユーザーのデータを読み取れる恐れ

Node.jsは16件の脆弱性を修正しました。うち7件は深刻度が高と評価されています。認証のないクライアントがHTTP/2サーバーをクラッシュさせたり、TLS鍵を含む他の接続のメモリを読み取ったりできる恐れがあります。修正済みバージョンは22.23.5、24.22.3、26.13.1です。