「User Profile Builder」の脆弱性 CVE-2026-15826

どんな危険があるか

WordPress用プラグイン「User Profile Builder」に、型混乱を悪用した認証バイパスの脆弱性が存在します。特定の長さのユーザー名で登録を行うと、プラグインがエラーオブジェクトを誤ってユーザーID「1」と解釈し、認証されていない攻撃者が管理者の自動ログイン用ナンスを取得できるようになります。これにより、攻撃者はサイト管理者のアカウントを完全に掌握し、サイトに対する全面的な制御が可能となる極めて重大なリスクがあります。

今すぐやること

WordPressの運用者は、User Profile Builderプラグインのバージョンが3.16.4以下である場合、速やかにベンダーが提供する修正版にアップデートしてください。アップデート情報については、Wordfenceの脅威インテリジェンスやプラグインの公式情報源を確認してください。緊急の対応として、プラグインを一時的に無効化することや、不正なログイン試行を監視するセキュリティ対策の強化を検討することが重要です。