2026年08月07日の重要脆弱性: Microsoft製品、WordPressプラグイン、WSO2など15件 • 今日の脆弱性

概要

本日、2026年8月7日に公開された重要脆弱性情報をお伝えします。CVSSスコア9.0以上の「Critical」に分類される脆弱性が合計15件確認されました。これらの中には、Microsoft製品における認証バイパスや権限昇格の深刻な脆弱性が複数含まれています。

また、WordPressの各種プラグインやテーマにおけるリモートコード実行、任意ファイルアップロード、任意ファイル削除、さらには未認証のバックドアによるサイト乗っ取りの危険性が高い脆弱性も確認されています。加えて、Node.jsのサンドボックス環境であるvm2に複数のサンドボックスエスケープ脆弱性が報告されており、隔離された環境からのコード実行に繋がる可能性があります。

WSO2製品群ではJWT認証の不備によるアカウント乗っ取りの脆弱性も存在します。これらの脆弱性は、未認証または低権限の攻撃者によってシステムが完全に制御されたり、機密情報が漏洩したりする可能性があり、速やかな内容の確認と対応が求められます。

Microsoft Planetary Computer Pro

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-63508

認証メカニズムの欠陥により、未認証の攻撃者がネットワーク経由で権限を昇格させることが可能です。

→ CVE-2026-63508 の詳しい解説と推奨対応はこちら

Microsoft Azure SQL Database

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-56162

不適切な認証により、未認証の攻撃者がネットワーク経由で権限を昇格させることが可能です。

→ CVE-2026-56162 の詳しい解説と推奨対応はこちら

Premium SEO WordPress plugin

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-14812

WordPressプラグイン「Premium SEO」に未認証のバックドアが存在し、隠し管理者アカウントの作成やリモートコード実行、SSRF、コンテンツインジェクションにより、未認証の攻撃者がサイトを完全に制御できる危険があります。

→ CVE-2026-14812 の詳しい解説と推奨対応はこちら

Brandexponents Type Hub WordPress plugin

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-66665

WordPressプラグイン「Type Hub」のバージョン2.0.6以前に、未認証で任意のファイルをアップロードできる脆弱性があり、これによりシステムが侵害される可能性があります。

→ CVE-2026-66665 の詳しい解説と推奨対応はこちら

MonsterInsights Pro

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-11976

MonsterInsights Proの公式アップデート配布S3バケットが侵害され、悪意のあるファイルclass-system-check.phpが含まれており、攻撃者がペイロードを継続的に反復させることでシステムが乗っ取られる危険があります。

→ CVE-2026-11976 の詳しい解説と推奨対応はこちら

wbolt.com Spider Analyser – WordPress搜索引擎蜘蛛分析插件 plugin

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-65553

WordPressプラグイン「Spider Analyser」のバージョン2.1.3以前に、未認証のリモートコード実行 (RCE) 脆弱性が存在し、攻撃者がサーバー上で任意のコードを実行できる可能性があります。

→ CVE-2026-65553 の詳しい解説と推奨対応はこちら

Custom Fields for WooCommerce WordPress plugin

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-16940

WordPressプラグイン「Custom Fields for WooCommerce」のバージョン1.5.1未満に、パス・トラバーサルを介した未認証の任意ファイル削除の脆弱性があり、wp-config.phpなどの重要なファイルを削除することでサイトが完全に掌握される可能性があります。

→ CVE-2026-16940 の詳しい解説と推奨対応はこちら

WSO2 Universal Gateway, Traffic Manager, API Control Plane, API Manager, Carbon API Manager Rest API Utility

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-5430

複数のWSO2製品のJWT認証メカニズムにアルゴリズム不一致による認証バイパス脆弱性があり、攻撃者が細工されたJWTトークンを使用して管理者アカウントの乗っ取りを含む不正アクセスを行う危険があります。

→ CVE-2026-5430 の詳しい解説と推奨対応はこちら

patriksimek vm2 Node.js sandbox

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-44005

Node.jsのサンドボックスライブラリvm2のバージョン3.9.6から3.10.5において、サンドボックス内のJavaScriptからホストのObject.prototypeなどを変更できるサンドボックスエスケープ脆弱性があり、任意のコードが実行される危険があります。

→ CVE-2026-44005 の詳しい解説と推奨対応はこちら

patriksimek vm2 Node.js sandbox

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-44006

Node.jsのサンドボックスライブラリvm2のバージョン3.11.0未満にサンドボックスエスケープの脆弱性があり、BaseHandler.getPrototypeOfに到達することで任意のプロトタイプを取得し、サンドボックスを回避できる危険があります。

→ CVE-2026-44006 の詳しい解説と推奨対応はこちら

patriksimek vm2 Node.js sandbox

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-43997

Node.jsのサンドボックスライブラリvm2のバージョン3.11.0未満にサンドボックスエスケープの脆弱性があり、ホストのObjectを取得することでサンドボックスを回避し、任意のコードが実行される危険があります。

→ CVE-2026-43997 の詳しい解説と推奨対応はこちら

Microsoft Azure Service Bus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-50515

Azure Service Busに信頼できないデータの逆シリアル化の脆弱性があり、認証された攻撃者がネットワーク経由でリモートコードを実行できる可能性があります。

→ CVE-2026-50515 の詳しい解説と推奨対応はこちら

Microsoft Azure SRE Agent

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-62830

Azure SRE Agentに認証の欠如の脆弱性があり、認証された攻撃者がネットワーク経由で権限を昇格させることが可能です。

→ CVE-2026-62830 の詳しい解説と推奨対応はこちら

open-reception appointment-booking-software

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-48086

OpenReceptionの予約ソフトウェアのバージョン1.0.2未満に権限昇格の脆弱性があり、TENANT_ADMINが単一のPUTリクエストでプラットフォーム全体のGLOBAL_ADMINに自己昇格し、すべてのテナントを制御できる危険があります。

→ CVE-2026-48086 の詳しい解説と推奨対応はこちら

Muffingroup Betheme WordPress theme

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-65548

WordPressテーマ「Betheme」のバージョン28.4.2以前に、投稿者権限を持つユーザーによるリモートコード実行 (RCE) の脆弱性があり、攻撃者が任意のコードを実行できる可能性があります。

→ CVE-2026-65548 の詳しい解説と推奨対応はこちら