バックアップ・移行プラグイン「Duplicator」に、WordPressのマルチサイト環境で任意のPHPコードを実行される恐れのある脆弱性（CVE-2026-115251）が公表されました。バージョン5.0.0より前が対象で、5.0.0以降で修正されたとされています。
どんな脆弱性か
情報をまとめたFeedlyのCVEページによると、Duplicatorの「ワンクリックアップグレード」の処理に対するアクセス制限が不十分なことが原因です。この処理が認証や権限の確認なしに呼び出せる状態にあり、マルチサイトの子サイトの管理者（ネットワーク管理者ではない人）が、ネットワーク全体で共有されるDuplicatorのプラグインディレクトリに任意のPHPコードを設置・実行できてしまう、という内容です。
- 対象：Duplicator 5.0.0より前のバージョン
- 影響：サブサイト管理者の権限から、マルチサイト全体に影響するコード実行へ（権限昇格）
- 修正：5.0.0以降にアップデート
- 悪用状況：同ページでは、公開された検証コード（PoC）や悪用の証拠は確認されていないとされています
同ページでは、危険度はFeedlyによる推定で「高」とされていますが、CVSSスコア自体は「不明」と表示されています。公開日は2026年10月25日です。
運営者がやること
- マルチサイトでDuplicatorを使っている場合：管理画面でバージョンを確認し、5.0.0以降に更新する
- 単一サイトの場合：記事で示された条件は「マルチサイトの子サイト管理者」ですが、プラグイン自体は最新版に保っておくのが安全です
- 子サイトの管理者を第三者に任せている場合：管理者アカウントの一覧を見直し、不要なアカウントは権限を下げる
- 使っていないDuplicatorは、バックアップを取ったうえで削除しておく
なお、この脆弱性に関する日本語の公式情報は、現時点では確認できていません。Duplicatorに関する別のCVE（CVE-2026-82814）を併せて扱う解説記事もあるようですが、今回の元記事では詳細に触れられていません。詳しくはベンダーのアドバイザリ（GitHub Advisories、GHSA-j9mp-rgph-hchj）で確認してください。
プラグイン経由の攻撃については、最近も当サイトで取り上げています。あわせて、イベントカレンダー系プラグインに認証なしのRCE脆弱性2件、約24万サイトが未更新と報告──コメント機能の確認をもご覧ください。
