セキュリティ媒体Cybersecurity Insidersが、WordPressの「Events Calendar」に関する2件のリモートコード実行(RCE)脆弱性を取り上げました。いずれも認証なしの攻撃者が突けるとされ、記事によれば、利用サイトの約4割がまだ更新していないといいます。
報告されている2件の脆弱性
- CVE-2026-78159:8月26日にバージョン6.17.3.1で修正。関数の呼び出し可否を確認する処理が、任意のグローバル関数名を信頼してしまう問題で、管理者のパスワードリセット(アカウント乗っ取り)などにつながるとされています。
- CVE-2026-78006:9月10日にバージョン6.17.4.1で修正。未承認のコメントに仕込まれた細工済みのブロック記述が、モデレーション用プレビューの処理で評価され、悪意あるシリアライズ済みPHPデータが実行され得る、という内容です。安全確認の処理が遅すぎるのが原因だと説明されています。
記事はプラグイン名を明記していませんが、「Events Calendar」「tribe_events」という記述から、広く使われているイベントカレンダー系プラグインを指していると読めます(この点は記事では断定されていません)。
どれくらい影響が出ているのか
記事によると、有効インストール60万以上のうち約40%が未更新で、約24万サイトが6.17より前のバージョンのまま。公開済みの検証コード(PoC)があり、すでにスキャンや攻撃が行われている可能性が高いとしています。なお、影響を受けるバージョンの範囲やCVSSスコアは記事では触れられていません。
サイト運営者がやること
- プラグインの実際のバージョンを確認する。記事は「6.17.3.1で止めず、6.17.4.1以降へ」と強調しています。
- すぐに更新できない場合は、イベント投稿タイプ(tribe_events)の「イベントページでコメントを表示」設定をオフにするか、コメントを無効化する。両方の脆弱性で、認証なしの入り口が塞がれるとされています。
- 想定外の管理者アカウント、wp-content/uploadsやプラグインフォルダ内の見覚えのないファイル、不審な外向き通信がないかを点検する。
教訓:「プレビュー」は「承認」ではない
記事の主張は、特定のプラグインにとどまりません。未承認のユーザー投稿を、信頼された描画処理に通してはいけない、という設計上の問題です。開発者向けには、危険な処理の直前・同じ経路で検証する、許可リスト方式にする、権限の必要な操作は実行時点で必ず確認する、といった方針が挙げられています。
認証なしで悪用される脆弱性が続く状況は、Bricksforgeの脆弱性の記事とも共通します。コメントやフォームなど、外部から入力を受け付ける機能は、まず点検の対象にしてください。
出典: Cybersecurity Insiders「What WordPress Calendar Vulnerabilities Reveal About Trusting User Content」
