Cloudways が開発している WordPress の高速化プラグイン Breeze Cache に、ログインしていない第三者がキャッシュ用ディレクトリの外にファイルを作れる脆弱性（CVE-2026-79706）が公開されました。WPScan が 8/26 に advisory を出し、8/28 に CVE の記録が公開されています。有効インストールは 30 万です。
https://wpscan.com/vulnerability/c7086680-71ee-4520-9c21-d510b2ec92b4/
修正版の 2.5.13 は 8/10 に出ているので、それ以降に更新していれば、今回の入口はすでに塞がっています。8/26 に新しくなったのは、脆弱性の中身が公になったことの方です。再現手順は WPScan が 9/26 まで伏せられています。
WPScan と Patchstack の advisory、wp.org の配布情報をもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で Breeze Cache のバージョンを見る。2.5.13 以上なら対応済みです。Cloudways で作った WordPress には最初から入って有効になっているので、自分で入れた覚えが無くても一覧を見てください
- 2.5.12 以下なら 2.5.13 に上げる。2.4.4 以前で止まっているなら、4 月に実際に攻撃を受けた別の脆弱性も同時に塞がります
- すぐ上げられないなら、Breeze の設定「File Optimization」にある HTML / CSS / JS の圧縮をオフにする。advisory が既存ファイルの上書きの条件に挙げていたのがこの機能でした。ファイルを作られること自体は残るので、更新までのつなぎです
対象者
対象は 2.5.12 以下です。CVE 側の記載に下限はありません。changelog は通貨切替の Cookie を原因に挙げていますが、advisory は通貨切替プラグインの利用を条件にしていません。Cookie は攻撃者が自分で付けて送るものなので、そのプラグインを入れていなくても対象から外れないと見るのが無難です。
起こったこと
ログインしていない第三者が、キャッシュ用ディレクトリの外にファイルを作れる状態でした。advisory によると、作れるファイルの拡張子は限られていて、中身も攻撃者が自由に書けるものではありません。だから第一の影響はファイルが増えてディスクを食うことで、そこから直接コードを動かされる話とは違います。
ただし条件が 2 つ付きます。ファイルの圧縮（最適化）を有効にしているサイトでは、既存のファイルが上書きされます。Windows サーバーでは、作ったファイルが外から閲覧でき、既存のファイルの削除もできる、とあります。
あわせて、同じ 2.5.13 で直した別の 1 件（CVE-2026-73356）を、Patchstack が 8/18 に公開しました。ログインなしでサイトの内容を消せるというもので、Patchstack は 8.2、WPScan は 5.3 と評価が割れています。中身の詳細はどちらも公開していません。
原因
キャッシュファイルの保存先を組み立てるときに、リクエストに含まれる値をそのまま使っていました。wp.org の changelog は、細工した Cookie が原因だと書いています。通貨切替プラグインは客が選んだ通貨をブラウザーの Cookie に覚えさせていて、Breeze はその値を読んで通貨ごとのキャッシュの保存先に反映していました。そこに検証が無かったということです。