「Custom Fields」の脆弱性 CVE-2026-16940: パストラバーサル

どんな危険があるか

WordPressのCustom Fieldsプラグインバージョン1.5.1未満には、認証されていないユーザーが任意のファイルをサーバーから削除できるパス・トラバーサル脆弱性が存在します。この脆弱性を悪用されると、wp-config.phpのような重要な設定ファイルが削除され、サイト全体がダウンしたり、完全に攻撃者に乗っ取られたりする可能性があります。

今すぐやること

Custom Fields WordPressプラグインを使用している場合、速やかにバージョン1.5.1以上にアップデートしてください。アップデートが困難な場合は、プラグインを無効化し、代替手段の利用を検討することが推奨されます。ウェブサイトのファイル権限を確認し、最小限の権限で運用されていることを確認することも重要です。