WordPress サイトを WPMU DEV の管理画面（Hub）につなぐプラグイン WPMU DEV Dashboard に、ログインしていない第三者が管理者としてサイトに入れる脆弱性が、Wordfence から 8/27 に公開されました。Smush や Hummingbird などの Pro 版を入れるときに、その導入と更新を担うプラグインです。有効インストールは Wordfence の推計で 35 万です。
修正版の 5.0.2 は 8/24 に出ています。それ以降に更新していれば、今回の入口はすでに塞がっています。8/27 に新しくなったのは、悪用の手順を攻撃者も読める形になったことの方です。
Wordfence の advisory とベンダーの公開ドキュメントをもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で WPMU DEV Dashboard のバージョンを見る。5.0.2 以上なら対応済みです。一覧に無ければ White Label 機能で隠れているだけの場合があるので、WPMU DEV メニューか Hub 側で確かめる
- 5.0.1 以下なら 5.0.2 に上げる。WordPress.org には無いプラグインなので、上げたあとに版を見ておく。WPMU DEV > Settings の Automatic Updates がオンなら、もう上がっているはずです
- すぐ上げられないなら、WPMU DEV > Settings の Single Sign-on（SSO）をオフにする。Hub からのワンクリックログインは使えなくなりますが、今回の入口はこれで閉じます。advisory が挙げている回避策です。Wordfence の無料版を入れていても、今回の攻撃を止めるルールが届くのは 9/24 なので、それまでの守りにはなりません
起こったこと
ログインしていない第三者が、管理者としてサイトにログインできる状態でした（CVE-2026-76581、CVSS 9.8）。パスワードも、WPMU DEV の API キーも要りません。管理者として入られると、プラグインやテーマの編集画面が使える設定なら、そこからコードを動かせます。
原因
Hub からワンクリックでサイトに入る SSO は、1 段目でサイトが署名を作って返し、2 段目でその署名を照合してログインさせる仕組みです。1 段目は 4 つの値をつなげて署名し、2 段目はサイトのドメインを外した 3 つで照合します。
しかも、つなげるときに区切りが入っていません。だからリダイレクト先を空にして 1 段目に署名を作らせ、返ってきたドメインを空いた欄に移して 2 段目へ渡すと、つなげた文字列が同じになります。1 段目はログイン前に呼べる仕組みなので、攻撃者は未ログインのまま通れました。
対象者
対象は 5.0.1 以下で、次の 3 つがそろっているサイトです。WPMU DEV の Hub に接続してあること、SSO が有効になっていること、そして SSO のログイン先が管理者であることです。
このうち SSO は、Hub に接続するときのチェックボックスが既定でオンなので、接続したあとに触っていなければオンのままです。3 つ目も、SSO でログインするのは接続や設定をした管理者のアカウントなので、たいてい満たしています。逆に、Hub に接続していないサイトと、SSO を切ってあるサイトは対象から外れます。
なお、同じプラグインには、8/5 の 5.0.1 で直した別の認証バイパス（CVE-2026-15459、5.0.0 以下）もありますが、こちらは別の入口です。前回の対象は Hub に接続していないサイトで、今回は逆に、接続して使っているサイトが対象になります。