2026.08.27
WordPress の人気テーマ「Avada」にクリック不要のシステム乗っ取り脆弱性が判明
セキュリティ企業の Defiant が運営する Wordfence チームは米国時間の2026年8月25日、 WordPress の人気テーマ「Avada」および関連プラグインに極めて深刻な脆弱性「CVE-2026-18431」が発見されたと公表しました。深刻度スコアは最大値の9.8と評価されており、同テーマが世界で100万個以上販売されているため影響が懸念されています。
手口としては、システムに存在する複数の不具合を特定の順序で連鎖的に悪用するというものです。攻撃者が細工したリクエストを送ることで、ユーザーによるクリック操作などを一切介さずに、本来はアクセス制限されているはずの管理機能やファイル処理を悪用されてしまうとされています。
この脆弱性で根本的な問題となっているのが、Webサーバー上で任意のPHPコードが直接実行できてしまう点です。攻撃に成功した悪意のある第三者によって、偽サイトへの強制転送や不正な管理者アカウントの追加など、自社のWebサイトを完全に丸ごと乗っ取られる原因になるとみられています。
Critical Avada WordPress theme flaw enables zero-click RCE｜Bleeping Computer
www.bleepingcomputer.com
企業向けのアドバイス
- 不正アクセスやサイトの改ざんを防ぐため、ホームページのテーマやプラグインは常に最新版へ更新することをおすすめします。
- 管理の手間と侵入リスクを減らすため、現在は使用していない不要なテーマやプラグインはシステム内から完全に削除してください。
- 安全性が確認されたプログラムのみを利用するため、テーマ等の導入は必ず公式ストアや正規の配布元から行ってください。
掲載されているアドバイスはあくまで参考情報です。サイトのご利用にあたってをご覧のうえ、ご活用ください。
執筆者
サイバーセキュリティラボ 編集部
サイバーセキュリティラボとは、中堅・中小企業がセキュリティの課題を理解し適切な対応をとれるよう支援するため、USEN＆U-NEXT GROUPのUSEN ICT Solutionsに設立された情報発信の組織です。サイバーセキュリティラボ 編集部には、セキュリティエンジニアやネットワークエンジニア、セキュリティサービスを販売するセールスなど、さまざまなメンバーが在籍しています。
