40万以上のWordPressサイトに導入されている多言語プラグイン「TranslatePress」に深刻な脆弱性が見つかりました。未認証の攻撃者が管理者アカウントを乗っ取り、対象サイトを完全に制御下に置くことが可能になります。
CVE-2026-19632として追跡されているこの脆弱性は、CVSSスコア9.8(緊急)を記録しており、TranslatePressのバージョン3.3.1以下に影響します。発見したのは研究者のmomopon1415氏で、Wordfence Bug Bounty Programを通じて2026年8月11日に報告されました。
問題は、プラグインのAJAXアクションtrp_get_translations_regularにおける機密情報漏えいの不具合です。これにより未認証の攻撃者は、プラグインの翻訳辞書テーブルから、パスワードリセットキーを平文で含む管理者のパスワードリセットURLをそのまま取得できてしまいます。
TranslatePressはWordPressのwp_mail()関数にフックし、パスワードリセットメールを含む送信メールを管理者の希望言語に翻訳する仕組みを持っています。
自動文字列保存機能が有効な状態(デフォルト設定)で、対象の管理者プロフィールが公開済みの第二言語に設定されている場合、リセットキーとログインパラメータを含むリセットメールの全文が、その言語の辞書テーブルに翻訳可能な文字列として保存されてしまいます。
さらにこのプラグインには、攻撃者が指定した文字列IDに対応する辞書のレコードを、認証チェックなしに返してしまう公開AJAXハンドラーも存在します。
これらのエントリを列挙することで、管理者のユーザー名やメールアドレスを知っている攻撃者はパスワードリセットを引き起こし、辞書から平文のリセットURLをそのまま抜き出してパスワードをリセットし、その管理者としてログインできてしまいます。結果としてサイトが完全に乗っ取られ、バックドア入りのプラグインを仕込むことやデータの窃取も可能になります。
なお、この攻撃が成立するのは、対象の管理者プロフィールの言語が公開済みの第二言語に設定されている場合に限られます。サイトのデフォルト言語のままのアカウントは影響を受けません。
プラグイン開発元のCozmoslabsは報告から24時間以内に対応を認め、同日となる2026年8月13日にバージョン3.3.2で修正版をリリースしました。
サイト運営者は直ちにTranslatePressをバージョン3.3.2に更新することが推奨されます。Wordfenceも多層防御策を推奨しており、すべての管理者アカウントで二要素認証を有効にしておけば、たとえリセットリンクを盗まれても攻撃者のログインを防ぐことができるとしています。
今回の脆弱性は、WordPressプラグインのセキュリティにおいて繰り返し見られるパターンを浮き彫りにしています。メール翻訳と公開データ取得エンドポイントという、一見無関係な機能同士であっても、認証チェックが重要な接点で欠けていれば、それらが組み合わさって深刻な攻撃チェーンを生み出してしまうのです。
不審な挙動をより速く調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/critical-wordpress-translatepress-bug/