WordPress向けの人気テーマ「Avada」に存在する重大な脆弱性チェーンが悪用されると、認証を受けていない攻撃者がサーバー上で任意のPHPコードを実行できることが判明しました。
この攻撃は6つのセキュリティ問題を連鎖させ、ゼロクリック攻撃として成立します。これらの脆弱性はまとめてCVE-2026-18431として追跡されており、深刻度スコアは9.8(緊急)と評価されています。
この攻撃は、認可、入力検証、信頼境界、ファイル処理に関する脆弱性の悪用を組み合わせたもので、対象サーバー上で任意のPHPコード実行を可能にするには、特定の順序で実行する必要があります。
この脆弱性の悪用に成功した攻撃者は、マルウェアの設置やデータベースへのアクセスから、訪問者を悪意あるサイトへリダイレクトすること、不正な管理者アカウントの追加まで、さまざまな悪意ある目的でウェブサイトを完全に乗っ取ることが可能になります。
CVE-2026-18431は、Avadaのバージョン7.16以下、およびFusion Builderプラグインのバージョン3.16以下に影響します。DefiantのWordfenceチームの研究者らが火曜日に公開したレポートで明らかにしました。
AvadaおよびFusion Builderの開発元であるThemeFusionはすでにこの脆弱性を修正していますが、Wordfenceは管理者が最新のアップデートを導入するための十分な時間を確保できるよう、技術的な詳細を完全には公開しておらず、攻撃チェーンについては以下の概要のみを提供しています。
- 公開リクエストを通じて攻撃者が制御可能な入力を露出させる
- その入力を、匿名ユーザーには制限されているはずの機能に渡す
- 本来意図されたコンテキスト外で権限を持つコンポーネントを呼び出す
- リクエストデータを利用して信頼された状態に影響を与える
- 保護が不十分な管理操作にアクセスする
- 書き込み可能な内容や場所に関するファイル処理の制限を回避する
この脆弱性は深刻度が高いものの、研究者らは、悪用には対象のウェブサイト上でAvadaテーマとFusion Builderプラグインの両方について脆弱なバージョンが有効化されている必要があると説明しています。
Avadaテーマは販売数100万件以上を誇る人気テーマですが、CVE-2026-18431の悪用に必要な前提条件により、実際に標的となりうる対象はかなり限定されます。
Wordfenceは、Argusと呼ばれる社内のエージェント型フレームワークを用いてこの6段階の脆弱性チェーンを発見しました。Argusは概念実証(PoC)のエクスプロイトコードの作成も含め、これらすべてを約2時間で行いました。
Argusは7月30日にこの脆弱性を発見し再現に成功しており、研究者らは8月5日にベンダーへ詳細を全面的に共有しました。ThemeFusionは8月10日にこの報告を確認し、昨日Avada 7.16.1およびFusion Builder 3.16.1で修正版をリリースしています。
