WordPressプラグイン「Pods」に、認証を経ていない攻撃者が対象サイトの管理者レベルの権限を奪取できてしまう深刻な脆弱性が見つかりました。
CVE-2026-19598として追跡されているこの脆弱性は、Podsのバージョン3.3.9までのすべてに影響し、CVSSスコアは9.8と深刻度が最も高い部類に位置づけられています。Podsはカスタムのコンテンツタイプ、フィールド、タクソノミーを構築するためのプラグインで、有効インストール数は10万件を超えています。
この脆弱性は、セキュリティ研究者Nhien Pham氏（ハンドル名:nhienit）によって発見され、Wordfence Bug Bounty Programを通じて報告されました。Wordfenceは報告者に対して報奨金3,900ドルを授与しています。
同社は2026年8月12日にこの問題を検証し、脆弱性管理ポータルを通じてPods開発チームに開示情報を提供しました。
問題の中心にあるのは、Podsの公開AJAXルーターであるpods_adminです。このルーターは、一連のセキュリティチェックを実施した上で、内部の管理系リクエストを処理することを想定しています。
これらの制御は、要求されたAPIメソッドが許可されているか、リクエスト元が認証済みか、有効なWordPressのnonceが存在するか、そしてリクエスト元が必要な管理者権限を保有しているかを検証するためのものです。
しかし、アクセス制御のロジックは、検証に失敗した際に処理を停止させるエラー処理ルーチン「pods_error()」に依存しています。研究者たちは、あるJSON互換性のパスにおいて、このルーチンがエラーを記録した上で処理を終了せず、そのままリターンしてしまうケースがあることを突き止めました。
呼び出し元のAJAXハンドラーはこのエラー関数を呼び出した後も処理を停止しないため、認可・認証・nonceチェックがいずれも失敗しているにもかかわらず、処理が続行されてしまいます。
この挙動により、該当条件下ではルーター側のセキュリティゲートが実質的に機能しなくなります。認証を経ていない攻撃者であっても、攻撃者が制御可能なパラメータを用いて、権限が必要なPodsのAPIメソッドに到達できてしまうのです。
Wordfenceによると、到達可能な関数の一つを悪用すれば、サイトオーナーや他の管理者を含む、既存のWordPressユーザーのパスワードを上書きできるといいます。これにより、攻撃者は対象サイトを直接掌握できてしまう可能性があります。
その影響はアカウント乗っ取りにとどまりません。管理者権限を一度取得されてしまうと、侵入者は悪意あるプラグインのインストール、永続的なバックドアの作成、サイトコンテンツの改ざん、訪問者のリダイレクト、保存データの窃取、あるいは侵害したサイトを各種キャンペーンに利用することが可能になります。
Wordfenceは、他にも露出している管理者向けの操作によって、PHPファイルの書き込みや任意のファイル削除が可能になる恐れがあると警告しています。Podsチームはこの報告を速やかに認識し、2026年8月14日に修正版をリリースしました。
最新の修正版はバージョン3.3.9.1で、修正は3.2.8.3、3.1.4.2、3.0.10.4、2.9.19.4、2.8.23.4といった旧リリース系列にもバックポートされています。開発元はWordPress.orgのプラグインチームと連携し、脆弱なインストールの強制アップデートを進めています。
Wordfenceは8月12日、Premium・Care・Responseの各契約顧客向けにファイアウォール保護をすでに展開しています。無料版のユーザーには9月11日に同じルールが提供される見込みです。
サイト管理者は、ファイアウォールによる保護だけに頼るべきではありません。使用中のPodsのバージョンを確認し、該当するパッチを適用したうえで、管理者アカウントの見直し、不審なパスワードリセットの調査、プラグインの変更、PHPの改変、そして通常とは異なるAJAXアクティビティがないかを確認する必要があります。
不審なアクティビティの調査を迅速化し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/critical-wordpress-pods-flaw/
