WordPress のサイト管理プラグイン ManageWP Worker に、ログイン用リンクを入手した第三者が管理者としてログインできる脆弱性が公開されました。WPScan が 8/20 に公開しています。有効インストールは 100 万以上です。
修正版が出たのは 8/18 なので、それ以降に更新していればもう終わっています。8/20 に新しくなったのは、脆弱性の中身を攻撃者も読めるようになったことの方です。
WPScan の advisory と wp.org の配布情報をもとに、やることだけ整理しました。
取るべき対応
- 管理画面で ManageWP Worker のバージョンを見る。4.9.37 以上なら対応済みです。一覧に見当たらなくても、ManageWP を使っているならダッシュボード側で確かめる
- 4.9.36 以下なら、4.9.38 に上げる。塞がるのは 4.9.37 からですが、8/21 に出た現行最新まで上げる
- すぐ上げられないなら、Worker を一時的に無効化する。ManageWP からの管理は止まりますが、今回の機能ごと動かなくなります
起こったこと
ManageWP のダッシュボードには、各サイトの管理画面へ 1 クリックで入れる自動ログイン機能があります。今回の脆弱性は、そこにありました。
有効なログインリンクを 1 本手に入れた第三者が、管理者を含む任意のユーザーとしてセッションを取れる状態でした。パスワードも 2 段階認証も要りません。CVSS は 8.1（high）、CVE-2026-18052 です。ただし成立にはリンクの入手が必要なので、誰でもいますぐ試せる形ではありません。
原因
ログインを認可する署名が、ログイン先のアカウントに結びついていませんでした。だからリンクを 1 本持っていれば、本来の相手とは別のユーザーとしてログインできます。使用済みのリンクを弾く仕組みも無く、同じリンクを何度でも使い回せました。
修正は 2 段階に分かれています。8/17 に出た 4.9.36 では、ログイントークンの形式検証を厳しくして、ログイン後のリダイレクト URL から署名を外しました。署名が URL に残る経路があったということです。署名を対象アカウントに結びつける本修正は、その翌日の版で入りました。
対象者
対象は 4.9.36 以下です。
| 版 | 日付（2026） | 内容 |
|---|---|---|
| 4.9.36 | 8/17 | 部分対策（トークン形式の厳格化・リダイレクト URL から署名を除去） |
| 4.9.37 | 8/18 | 本件の修正（署名を対象アカウントに結びつける） |
| 4.9.38 | 8/21 | 現行最新（WordPress 7.1 対応・PHP 8.x の警告修正） |
ManageWP を使っていないサイトは無関係です。ただし ManageWP には、Worker の名前を変えたり一覧から隠したりする機能があります。プラグイン一覧に「ManageWP Worker」が見当たらないことをもって、入っていないとは判断できません。ManageWP のダッシュボード側で確かめるのが確実です。
報告者は Jakub Herman。WPScan は実証コードを 9/20 に公開すると予告しています。上げるなら、それまでに。