人気プラグイン「The Events Calendar」に存在する2件の重大な脆弱性により、20万件を超えるWordPressサイトが乗っ取り攻撃にさらされる恐れがあります。
The Events Calendarはアクティブインストール数60万件を超える非常に人気の高いプラグインで、管理者がウェブサイト上にイベントカレンダーを簡単に作成・管理できるようにするものです。
WordPressセキュリティ企業のDefiantが説明しているところによると、バージョン6.17.3.1より前のすべてのプラグインバージョンには、リモートコード実行(RCE)につながりかねない2件のコードインジェクションのバグが存在し、攻撃者によるサイト乗っ取りを許してしまう可能性があります。
1件目のセキュリティ上の欠陥はCVE-2026-78159として追跡されており(CVSSスコアは9.8)、検証が不十分であることに起因する未認証のコードインジェクションであると説明されています。
特定の条件下では、攻撃者がチェックを回避するプレーン配列のペイロードを注入し、コメント欄を含む単一イベントのHTML処理中にそれを実行させることが可能です。
The Events Calendarの開発元であるStellarWPは、8月25日にプラグインのバージョン6.17.3.1でこの脆弱性を修正しました。
CVE-2026-78006として追跡される2件目の脆弱性(CVSSスコアは9.8)は、イベントへのコメントが有効かつ表示可能な状態になっている場合に悪用できる、未認証のPHPオブジェクトインジェクションの問題であると説明されています。
このセキュリティ上の欠陥は、プラグインの特定の機能における保護が不十分であるために発生します。注入されたコードはモデレーションが行われる前に脆弱な機能へと渡されるため、コメント投稿者は認証や承認を経ることなくこの保護を回避できてしまいます。
StellarWPは9月10日にリリースされたThe Events Calendarバージョン6.17.4.1で、この2件目の脆弱性を解消しました。
Defiantによると、これら2つのセキュリティ上の弱点はそれぞれ独立した攻撃チェーンであるものの、いずれもRCEおよびWordPressインストール環境の完全な侵害につながるとのことです。
WordPressのデータが示すところによると、約24万件のウェブサイトが6.17より前のバージョンのThe Events Calendarを使用しており、これらのサイトは両方の脆弱性の影響を受けることになります。
9月10日から14日の間に、このプラグインは30万回強ダウンロードされており、このことはインストール環境の約半数が依然としてCVE-2026-78006の影響下にある可能性を示唆しています。
両方の重大な欠陥の悪用にはプラグインでコメントが有効になっていることが条件となるため、実際にどれだけの数のWordPressサイトが脆弱な状態にあるのかは不明です。
