CVE-2026-19598: Podsプラグインに深刻な脆弱性、攻撃者が管理者パスワードをリセット可能に

WordPressサイト管理者のパスワードが、攻撃者によってログインすら経ずに変更されてしまう恐れがあります。人気プラグインPodsに存在する深刻な脆弱性により、認証を持たない第三者が複数のセキュリティチェックを次々と回避し、管理機能に直接到達できる状態になっていました。Wordfenceによると、最悪の場合、攻撃者はサイトを完全に乗っ取ることが可能だったといいます。

広く使われるプラグイン、影響範囲も広範

Podsは、WordPressサイトの運営者がカスタムコンテンツタイプ、フィールド、タクソノミーを作成し、さまざまなレコードを相互に関連付けられるようにするプラグインです。アクティブインストール数は10万件を超えます。今回の問題はバージョン2.8以降のすべてのPodsに影響し、3.3.9までの全バージョンが対象となります。

CVE-2026-19598：深刻度は最高レベル、認証不要・リモートから攻撃可能

この脆弱性はCVE-2026-19598として追跡されており、深刻度スコアは9.8です。悪用にあたってアカウントは一切不要で、サイトへの事前アクセスも、管理者による操作も必要ありません。攻撃は完全にネットワーク経由でリモートから実行可能であり、まさにこの点が「クリティカル」レベルに分類された理由です。

壊れたエラーチェックがセキュリティを迂回させた仕組み

脆弱性の根本は、プラグインが内部の管理機能にアクセスする際に使用するpods_admin AJAXルーターにありました。本来Podsは、リクエストを実行する前に、許可されたメソッドかどうかを検証し、認可を確認し、使い捨ての保護用ナンス(nonce)を検証し、ユーザー権限をチェックする設計になっています。これらのチェックのいずれかが失敗した場合、プラグインはpods_error()関数を呼び出し、リクエスト処理を完全に停止する仕組みでした。

ところが、特定のモードでJSONを処理する際、この関数は異なる挙動を示していました。実行を即座に停止する代わりに、pods_error()はPHPのエラーログにメッセージを記録し、falseという戻り値を返すだけだったのです。ルーター側のコードはこの戻り値をチェックしておらず、そのまま処理を続行してしまっていました。その結果、認証・ナンス検証・権限チェックのいずれかがすでに失敗していたとしても、リクエストが処理され続けてしまう状態になっていました。

検証の破綻からサイト完全乗っ取りへ

Wordfenceの研究者は、この不具合によってPodsの内部メソッドへのアクセスが可能になることを実証しました。ユーザーレコードの保存を担う関数を通じて、攻撃者は既存アカウントを指定し、そのパスワードを上書きできてしまいます。サイトの管理者アカウントを標的にすれば、攻撃者はWordPressサイト全体を事実上完全に制御できてしまう計算です。この脆弱性の影響はユーザー管理にとどまりません。セキュリティチェックを迂回することで、ファイルの改変やデータの削除、さらにはPHPコード実行につながりかねない操作など、他の管理機能の悪用も可能でした。

発見・報告・修正までの経緯

この脆弱性はセキュリティ研究者のNguyen Pham氏が発見し、8月10日にWordfence Bug Bounty Programを通じて報告しました。Wordfenceは8月12日に問題を確認し、同日中にPods開発チームに通知しています。この研究者には報奨金として3,900ドルが支払われました。そして8月14日までに、プロジェクトチームはすでに修正版のビルドをリリースしていました。

開発チームによる公式のアップデート告知によると、チームはさらに36時間をかけて関連する複数のコード箇所をレビューし、その過程で他にもいくつかの潜在的な問題を解消したとのことです。バージョン3.3.9.1にはセキュリティ全体を強化する目的で16件の変更が含まれており、旧バージョン向けにはコアの変更13件を含むバックポート版も用意されました。

修正済みバージョンと強制アップデート

安全とされるバージョンは、Pods 3.3.9.1、3.2.8.3、3.1.4.2、3.0.10.4、2.9.19.4、2.8.23.4です。Pods開発チームはWordPress.orgチームと協力し、脆弱性の影響を受けるインストール環境を、それぞれのブランチに対応する修正版へ強制的に自動アップデートさせました。この対応により無防備なサイトの総数は大幅に減少するとみられますが、すべての環境で自動アップデートが確実に完了しているとは限らないため、サイト管理者は自身でインストール済みバージョンを個別に確認することが推奨されています。

すでに始まっている実際の悪用

この危険性は、もはや理論上のものにとどまりません。Wordfenceのライブ脅威インテリジェンスページによると、過去24時間だけでCVE-2026-19598を悪用しようとする試みが28,540件ブロックされたと報告されています。Podsを利用しているサイト運営者は、たとえWordPressから自動アップデートがすでに完了したという通知を受け取っていたとしても、早急にプラグインのバージョンを確認することをお勧めします。