WordPress の高速化プラグイン LiteSpeed Cache の脆弱性 2 件が、WPScan から 10/21 に公開されました。番号は CVE-2026-113499 と CVE-2026-113500 で、どちらも CDN マッピングか、フォント表示の最適化をオンにしているサイトが対象です。ログインしていない第三者が、コメント経由で公開ページに JavaScript を仕込めるものでした。有効インストールは 700 万で、修正版の 7.9.2 は公開の前日、10/20 に出ています。
7.9.2 に更新済みのサイトでは何も起きていない一方、7.9.1 以下のままでどちらかの設定をオンにしているサイトは、10/21 から攻撃対象になっています。上げる期限は、WPScan が攻撃の手順を公開する 11/22 です。
https://wpscan.com/vulnerability/f04afdab-33fb-41a9-9270-908673998bb8/
https://wpscan.com/vulnerability/f841e09f-275c-4c10-a5b7-af294f92db29/
WPScan の公開情報と LiteSpeed Cache の変更履歴をもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で LiteSpeed Cache のバージョンを見る
- 7.9.2 なら対応済みで、10/20 に出た現行版です
- 7.9.1 以下なら 7.9.2 に上げる
- WPScan によると、7.9.2 には購読者権限のユーザーが管理者向けの通知を消せる別の脆弱性の修正も入っています
WPScan は回避策を示していません。
対象者
対象は 7.9.1 以下を入れていて、ログインしていない人のコメントを公開しているサイトです。そのうえで、CDN 設定の「CDN マッピングを使用」か、ページの最適化の「フォント表示の最適化」のどちらかがオンだと成立します。見るのは「7.9.2 より前か」「コメントが公開されるか」「2 つの設定のどちらかがオンか」の 3 つ。どちらの設定も既定ではオフですが、プリセット画面で Advanced（推奨）以上を適用すると、フォント表示の最適化はオンになります。設定した覚えが無いだけでは外れたことにならないので、CSS 設定と CDN 設定の画面を見てから判断するのが無難です。
起こったこと
ログインしていない第三者が送ったコメントが公開されると、そのページを開いた人のブラウザで JavaScript が動きます。動く相手は一般の訪問者に限らず、同じページを開いた管理者も含まれると WPScan は書いていて、CVSS は 2 件とも 7.5、区分は High です。
原因
WPScan によると、原因は LiteSpeed Cache が公開ページの HTML を書き換える 2 つの処理にあります。CDN のインライン CSS の URL の書き換えと、フォント表示の最適化は、本来スタイルシートの中身だけに当てるものでした。それがスタイルシート以外の HTML にも当たり、属性を閉じるクォートやマークアップを消してしまいます。そこにエスケープされていないコメント投稿者の出力が重なると、投稿者が書いた文字列が属性として成立し、JavaScript が動く、という説明でした。変更履歴では、インライン CSS の URL 書き換えでの HTML の挿入を防ぎ、リソースの書き換えで HTML の境界を保護した、とあります。
