守るために入れたプラグインが、穴になる — バックアップ・スパム対策プラグインの相次ぐ脆弱性（2026年7月第4週）

前回の記事では、WordPressコアの認証不要リモートコード実行「wp2shell」を取り上げました。事件が大きかったため埋もれてしまいましたが、同じ時期に静かに積み上がっていた一覧がもう一つございます。プラグインの脆弱性でございます。

2026年7月23日から29日までの1週間に報告されたものだけで26件。しかもこれは「インストール数10万以上かつ日本語対応」という条件で絞り込んだあとの数字でございます。この一覧を眺めておりますと、一つ気にかかることがございます。

1. 守るために入れたものが、先に破られる

その週の重大な脆弱性の一覧には、次のような名前がございました。

• BackWPup（バックアップ）— CVSS 7.2、蓄積型クロスサイトスクリプティング。5.7.5で修正
• CleanTalk Anti-Spam（スパム・ボット対策）— CVSS 7.2、蓄積型クロスサイトスクリプティング。6.83で修正

どちらもサイトを守るために入れるプラグインでございます。バックアップは事故のときに戻すため、スパム対策は良くない要求を防ぐために導入いたします。その二つが、同じ週に並んで脆弱性の報告を受けました。

いずれも認証なしで任意のスクリプトをページに仕込める不具合でした。仕込まれたスクリプトは、そのページを開いた方のブラウザで実行されます。管理者が開けば、管理者の権限で実行されます。

2. お金が動くところも例外ではございません

同じ週の一覧の中で、最も直接的な被害につながりうるのは決済まわりでした。

• Payment Plugins for Stripe WooCommerce — Webhookの署名が設定されていない場合、認証なしで任意の注文を「支払い済み」に変更できる認可回避。同じプラグインから2件が報告されております

商品を send してから気づく類のものでございます。設定が一つ（Webhookの署名）抜けていただけで、決済が通ったように見えてしまいます。

3. 一つのプラグインから3件出ることもございます

Kirki（テーマカスタマイザーのフレームワーク）は、その週だけで3件の報告がございました。うち一つは context パラメータを用いて認証なしで非公開・下書きの記事の全文を読めるという不具合でした。

公開前のお知らせ、準備中の価格表、社内向けの覚え書きが下書きのまま残っておりますと、そのまま外に出てしまいます。

4. そのほか、見覚えのある名前

その週の一覧に挙がった残りの名前でございます。一つくらいは見覚えがおありかと存じます。

• GTM4WP（Googleタグマネージャー連携）— CVSS 7.2。WooCommerceの請求フィールドへのスクリプト注入
• Fluent Forms・Ninja Forms（お問い合わせフォーム）
• GiveWP（寄付）— CVSS 7.2、2件
• Yoast SEO・All in One SEO（検索対策）
• Polylang（多言語）・MailPoet（メール配信）
• The Events Calendar・WP Go Maps・Tutor LMS・Advanced Ads・WP Activity Log ほか

SEOプラグイン、多言語プラグイン、フォームプラグイン、地図プラグイン。一般的な企業サイトを一つ作れば、たいてい入ってくる組み合わせでございます。

5. ここから読み取るべきこと

この一覧が示しているのは「特定のプラグインが良くない」ということではございません。上に挙げたものの多くは長く丁寧に運営されてきた人気プラグインで、実際に数日のうちに修正版が出ております。

読み取るべきは構造でございます。

プラグインは追加した機能ではなく、増えた表面積でございます。

プラグインを一つ入れるたびに、自社のサイトに他社が書いたコードが一式増えます。そのコードの品質も、修正の速さも、開発者が保守を続けるかどうかも、サイトの持ち主には決められません。

プラグインが20個入ったサイトは、20の開発チームがそれぞれ間違えないことを期待している状態でございます。バックアッププラグインが脆弱になるのは、そのためでございます。

6. では、どうすればよいか

• 使っていないプラグインは削除いたします。 停止しただけではファイルがサーバーに残ります。脆弱なコードがそのまま置かれている状態でございます
• 同じ役割のプラグインが重なっていないかをご確認ください。フォームが二つ、SEOが二つ入っているサイトをよく拝見いたします
• 決済・会員・個人情報を扱うプラグインは、設定まで確認いたします。 上のStripeの件は、コードではなくWebhook署名の未設定が条件でした
• 週に一度は脆弱性情報を確認いたします。 毎週木曜ごろに日本語でまとまる一覧がございます。インストール数と言語で絞ってくれますので、実際に自社に関係するものだけを見られます

付け加えまして

THEVOSが自社CMSであるVosCMSを作って使っている理由が、ここにございます。機能を外部プラグインで足すのではなく、自社モジュールとしてコアの中で作ります。 修正が必要になれば、他社の修正版を待たずにその場で直します。

もちろんWordPressでも安全に運用することはできます。ただしそのためには、毎週一覧を確認し、判断して更新する人が必要でございます。その作業を事業主様がご自身でなさるのは難しいことと存じます。次の記事では、その「見てくれる人」がいない場合に実際どのような数字が出るのかを見てまいります。

参考 — Wordfenceのデータに基づく週次まとめ（2026/07/23〜07/29、2026年7月31日公開）、IPA注意喚起（2026年7月22日）