WordPress に Meta や Google の計測タグを置くプラグイン PixelYourSite の脆弱性（CVE-2026-109987）が、WPScan から 10/20 に公開されました。ページ全体をキャッシュしているサイトで、ログインしていない第三者が公開ページに JavaScript を仕込めるものです。無料版の有効インストールは 40 万で、修正版は公開より前に出ています。無料版は 10/17 の 11.4.3、有料版の Pro は 10/14 の 12.6.8 です。
修正版に更新済みのサイトでは何も起きていない一方、修正前のバージョンのままでページキャッシュを使っているサイトは、10/20 から攻撃対象になっています。上げる期限は、WPScan が攻撃の手順を公開する 11/20 です。
https://wpscan.com/vulnerability/80e1ed6d-dec5-4bfd-851d-3905fd42d23f/
WPScan の公開情報と PixelYourSite の変更履歴をもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で PixelYourSite のバージョンを見る
- 無料版は 11.4.3 か 11.4.4 なら対応済みです。11.4.4 は 10/21 に出た現行版で、別のセキュリティ修正も入っています
- Pro は 12.6.8 なら対応済みで、10/14 に出た現行版です
- それより前なら上げる
- 無料版は 11.4.4、Pro は 12.6.8 に上げる
- 変更履歴によると、修正前のバージョンにはアドオンの更新処理が WordPress の更新確認を止める不具合があり、Pro では 12.6.5 からです。一覧に更新の表示が出ていないことを、最新である根拠にしない
WPScan は回避策を示していません。
対象者
対象は無料版 11.4.3 より前か Pro 12.6.8 より前を入れていて、ページ全体をキャッシュしているサイトです。見るのは「修正版より前か」と「ページキャッシュを使っているか」の 2 つ。WPScan はページ全体のキャッシュが動いているサイトで成立すると書いていて、キャッシュの種類やプラグイン名までは挙げていません。キャッシュを入れた覚えが無いだけでは外れたことにならないので、使っているキャッシュの設定を見てから判断します。
| バージョン | この脆弱性 | 上げる先 |
|---|---|---|
| 無料版 11.4.3 以上（現行 11.4.4） | 対象外（修正済み） | |
| 無料版 11.4.3 より前 | 対象 | 11.4.4 |
| Pro 12.6.8（現行） | 対象外（修正済み） | |
| Pro 12.6.8 より前 | 対象 | 12.6.8 |
起こったこと
ログインしていない第三者が、細工した Cookie を付けて公開ページにアクセスすると、その値がページの HTML にそのまま書き出されます。ページ全体をキャッシュしているサイトでは、その HTML がキャッシュとして保存され、後から同じページを開いた訪問者へそのまま配られるのが問題でした。仕込まれた JavaScript が動くのは、そのページを開いた人のブラウザです。CVSS は 7.2 で、区分は High。
原因
WPScan によると、プラグインは Cookie の値を無害化もエスケープもせずに、ページの出力へ書いていました。変更履歴は、noscript（JavaScript が動かない環境向けの計測タグ）のピクセルにあった XSS を修正した、とだけ書いていて、無料版と Pro で同じです。
