チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「WordPressプラグインの脆弱性で管理者アカウントを勝手に作られる？
うちのサイトは大丈夫でしょうか？」
チップスボス、WP Maps ProっていうWordPressプラグインで管理者を勝手に作られる脆弱性が悪用されてるって本当でしゅか？
ボスふむ。CVSS 9.8の重大脆弱性CVE-2026-8732だ。プラグインのサポート用「一時アクセス」機能の実装ミスを突いて、認証なしで管理者ユーザーを作れる。WordfenceはわずかにIRリリース後24時間で2003件の攻撃をブロックしたと報告している。
本記事では、CVE-2026-8732の仕組みと、WordPressサイト運用者がすぐ取るべき対策を整理します。
読み終わるころには、自社のWordPress運用に今すぐ反映すべきチェック項目が見えてきます。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
2026年6月、CVE-2026-8732としてWP Maps Proに重大な権限昇格脆弱性が公開され、リリース直後から実環境で悪用が観測されました。
WP Maps Proには、サポート担当者が顧客サイトに一時的にログインできる「一時アクセス」機能が搭載されていました。
この機能の処理がwp_ajax_nopriv_フックで登録されており、未認証ユーザーからのリクエストを受け付ける状態になっていました。
唯一の保護がnonceだけだったうえ、そのnonceはwp_localize_scriptによって全フロントエンドページに公開されていたため、攻撃者は自由に有効なnonceを取得できる状態でした。
攻撃が成立する流れを以下にまとめます。
攻撃者は公開ページからnonceを抽出する
check_temp=false付きでAJAX呼び出し、wp_insert_userで管理者を生成
返却されたmagic URLへアクセスし、認証Cookieを受け取り完全乗っ取り
チップス「サポート用の便利機能」が攻撃ルートになるなんて、皮肉でしゅね…。
ボスそうだな。利便性を優先して未認証ハンドラを残すと、こうした事故が起こる。WordPressプラグイン特有のリスクとして、設計レビューの段階で潰すべき問題だ。
WP Maps Proを利用していない場合でも、WordPressサイトの運用全般に学びがあります。
WP Maps Proを使っているサイトでは、まずプラグインを6.1.1以降へ更新しましょう。
その後、ユーザー一覧で身に覚えのない管理者アカウントが追加されていないかを精査することが重要です。
不審なユーザーが見つかった場合は、削除に加えてサーバー上のファイル改ざんやスケジュールタスクの追加も併せて点検すべきです。
WordPressサイトでは、プラグインの脆弱性が侵害経路の大半を占めます。
運用継続性と引き換えに、最小権限で動作するプラグインだけを選定する判断が欠かせません。
定期的な棚卸しと、開発が停止しているプラグインの代替検討を運用ルーチンに組み込みましょう。
詳細はSecurity Affairsの解説記事を参照してください。
CVE-2026-8732は、たった1本のプラグインがサイト全体の完全乗っ取りにつながる典型例です。
「便利機能の裏に未認証ハンドラがないか」を意識した運用と、迅速な更新の徹底が被害を防ぐ鍵になります。
WordPress運用者は、今回をきっかけにプラグイン管理プロセスを再点検してみてください。
チップスまずユーザー一覧を見て、見覚えのない管理者がいないか確認するでしゅ！
ボスうむ、その点検は最低限すぐやるべきだ。管理者アカウントは取り戻すのが難しいからな、早期発見が肝心だ。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
