広く利用されているWordPressプラグイン「Pods」に深刻な脆弱性が発見されました。未認証の攻撃者が権限を昇格させ対象サイトを完全に制御下に置くことが可能になるというものです。
Hacking& Cracking
この脆弱性はCVE-2026-19598として追跡されており、CVSSスコアは9.8です。影響を受けるのはPods – Custom Content Types and Fieldsのバージョン3.3.9以下となります。
アクティブインストール数が10万件を超えるこのプラグインにおいて、まだセキュリティアップデートを適用していないWordPressサイト運営者にとって、この脆弱性は重大なリスクとなります。
深刻なWordPress Pods脆弱性
セキュリティ研究者のNhien Pham氏(ハンドル名: nhienit)は、Wordfence Bug Bounty Programを通じてこの問題を発見し、責任ある開示を行いました。その功績により3,900ドルの報奨金を受け取っています。
脆弱性の原因は、Podsの外部公開されている`pods_admin` AJAXルーターにあります。このルーターは、内部の管理者用APIメソッドにリクエストを振り分ける役割を担っています。
本来このルーターは、要求されたメソッドが許可リストに登録されているかを検証し、リクエスト元が認証済みであることを確認したうえで、WordPressのnonceを検証し、ユーザーが十分な権限を持っているかをチェックする仕組みになっています。
しかし、これらのセキュリティチェックはいずれも、検証に失敗した際に実行を終了させる役割をプラグインの`pods_error()`関数に依存しています。`meta-box-loader`パラメータが関わる特定のJSON互換性パスにおいて、`pods_error()`はエラーをログに記録するものの、実行を停止させずにfalseを返してしまいます。
その結果、呼び出し元のAJAXハンドラーはエラー関数を呼び出した後も処理を中断せず、認可・認証・nonce・権限の各チェックが失敗したにもかかわらず実行が継続されてしまいます。
つまり、未認証の攻撃者であってもこのルーターが公開している特権機能にアクセスできてしまうということです。
研究者らは、攻撃者が`save_user` APIメソッドを呼び出し、既存のユーザーアカウントを標的とするパラメータを渡すことが可能であると特定しました。
このメソッドは、WordPressのユーザー管理機能に到達する前に認証・権限・所有権の検証を独自に行わないため、攻撃者は管理者やサイト所有者のパスワードを上書きできてしまいます。
攻撃が成功すれば、攻撃者は乗っ取った管理者アカウントとして認証を通過し、WordPressインスタンスを制御下に置くことが可能になります。
この影響はパスワードのリセットにとどまらない可能性があります。Wordfenceは、今回のバイパスが`pods_admin`ルーター全体に影響を及ぼし、他の特権操作も露出させる恐れがあると警告しています。
到達可能なAPI機能やサイトの設定次第では、攻撃者が管理者レベルの操作を実行したり、PHPファイルを書き込んだり、ファイルを削除したりする可能性もあります。
今回の問題は、認可処理における典型的な設計上の欠陥を浮き彫りにしています。セキュリティ上重要なコードは、アクセス制御に失敗した時点で直ちに実行を停止しなければなりません。呼び出し元がその戻り値を無視して攻撃者が制御するリクエストの処理を続けてしまう場合、単にエラー値を返すだけでは不十分なのです。
Podsは、Wordfenceが8月12日に開発チームへ脆弱性を開示した後、2026年8月14日にバージョン3.3.9.1をリリースしました。修正はサポート対象の主要ブランチにもバックポートされています。
- 2.8.23.4
- 2.9.19.4
- 3.0.10.4
- 3.1.4.2
- 3.2.8.3
- 3.3.9.1
Podsチームは現在、脆弱性のあるインストールを強制的にアップデートさせるべく、WordPress.orgと連携を進めています。とはいえ、管理者は自動アップデートのみに頼るのではなく、直ちにインストール済みのPodsバージョンを確認することが望ましいでしょう。
Hacking& Cracking
Wordfence Premium、Care、Responseの各顧客には、8月12日にファイアウォール保護が提供されました。無料版のWordfenceを利用しているユーザーには、同じルールが9月11日に提供される予定です。
サイト運営者は、Podsを速やかにアップデートするとともに、管理者アカウントに不正な変更が加えられていないか確認し、侵害が疑われる場合は特権パスワードをリセットし、サーバーおよびWordPressのログを調べてこのプラグインのAJAX機能を狙った不審なリクエストがないか点検することが求められます。
調査の遅れによるインシデントを未然に防ぎましょう。15,000のSOCが活用する脅威インテリジェンスで、あなたのTier 1を強化します: TI Lookupを自社のSOCに統合する
翻訳元: https://gbhackers.com/critical-wordpress-pods-flaw/
