WordPress の高速化プラグイン W3 Total Cache に、ログインしていない第三者がサーバー上の任意のディレクトリへファイルを書き込める脆弱性が公開されました。有効インストールは 90 万です。
https://nvd.nist.gov/vuln/detail/CVE-2026-18051
WPScan の公開情報と wp.org の配布情報をもとに、やることだけ整理しました。
ちなみに、修正版の 2.10.5 は 8/19 の早朝に出ているので、それ以降に更新していればもう終わっています。
取るべき対応
- 管理画面で W3 Total Cache のバージョンを見る。2.10.5 以上なら対応済みです
- 2.10.4 以下なら、2.10.5 に上げる
- Apache で動かしていて、更新が止まっていた期間があるなら、
.htaccessが意図した内容のままか見る。攻撃されたという報告は見ていないので、念のためです
起こったこと
ログインしていない第三者が、サーバー上に既にあるディレクトリなら、どこにでもファイルを 1 つ書き込める状態でした。公開ディレクトリの外でもよく、同じ名前のファイルがあれば上書きされます。
Apache で動いているサイトでは、これが .htaccess に届きます。アクセス制限やリダイレクトを書いている運用は多いので、中身が置き換われば、サイトが表示されなくなるだけでなく、他のセキュリティ対策が前提にしていた制限まで一緒に外れます。
CVSS は最大値の 10.0 です。ただし内訳は、機密性への影響が無しで、完全性と可用性が高。情報を抜かれるものではなく、書き換えられて壊れるものだと読むのが正確です。
原因
キャッシュファイルの名前を組み立てるときに使うリクエストのパスを、プラグインが検証していませんでした。リクエストに含まれる文字列がそのまま保存先に反映されるので、キャッシュ用のディレクトリの外へ出られたということです。
対象者
対象は 2.10.4 以下です。CVE 側の記載に下限はありません。
自動更新を有効にしているサイトは、8/19 のうちに 2.10.5 になっています。危ないのは、それより前で更新が止まっているサイトだけです。