CVE-2026-4609: 不正アクセス in ProfileGrid – User Profiles
プラットフォーム
wordpress
コンポーネント
profilegrid-user-profiles-groups-and-communities
修正版
5.9.8.5
ProfileGrid – User Profiles, Groups and Communitiesプラグインにおける脆弱性CVE-2026-4609は、認証された攻撃者がSubscriber以上の権限で、閉鎖グループや有料グループを含む任意のProfileGridグループに自身または登録ユーザーを追加することを可能にします。これは、権限チェックの欠如に起因し、バージョン0.0.0から5.9.8.4までのすべてのバージョンに影響します。バージョン5.9.8.5で修正が提供されています。
このCVEがあなたのプロジェクトに影響するか確認
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
影響と攻撃シナリオ
この脆弱性を悪用されると、攻撃者は認証されたユーザーとして、グループへのアクセスを不正に取得できます。特に、有料グループへのアクセスを回避し、不正にコンテンツを閲覧したり、サービスを利用したりすることが可能になります。また、グループのメンバーシップを操作することで、グループ内の他のユーザーに影響を与える可能性もあります。この脆弱性は、WordPressサイトのセキュリティを著しく損ない、機密情報の漏洩や不正な操作につながる可能性があります。類似の脆弱性は、WordPressプラグインにおける権限管理の不備によって発生することがあります。
悪用の状況
CVE-2026-4609は2026年5月13日に公開されました。現時点では、KEV（Kernel Exploitability Tracking）への登録状況は不明です。EPSS（Exploit Prediction Scoring System）スコアは評価待ちです。公開されているPoC（Proof of Concept）は確認されていませんが、WordPressプラグインの脆弱性は、しばしば悪用される可能性があります。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の脅威情報に注意してください。
脅威インテリジェンス
エクスプロイト状況
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 低 — 有効なユーザーアカウントがあれば十分。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- 低 — 一部データへの部分的アクセス。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- なし — 可用性への影響なし。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
- 更新日
緩和策と回避策
CVE-2026-4609の軽減策として、まずProfileGridプラグインをバージョン5.9.8.5以上にアップデートすることを推奨します。アップデートが利用できない場合、一時的な回避策として、プラグインの設定でグループへの招待機能を無効にすることを検討してください。また、WordPressのセキュリティプラグインを使用して、不正なアクセス試行を監視し、WAF（Web Application Firewall）を導入して、悪意のあるリクエストをブロックすることも有効です。プラグインのアップデート後、グループへの招待機能が正常に動作することを確認してください。
修正方法
バージョン5.9.8.5、またはそれ以降の修正バージョンにアップデートしてください
よくある質問
CVE-2026-4609 — 不正アクセス in ProfileGrid – User Profilesとは何ですか？
CVE-2026-4609は、WordPressプラグインProfileGridのバージョン0.0.0～5.9.8.4において、権限チェックの欠如により不正アクセスが発生する脆弱性です。攻撃者はSubscriber以上の権限で任意のグループにユーザーを追加できます。
CVE-2026-4609 in ProfileGrid – User Profilesの影響はありますか？
はい、影響があります。認証された攻撃者がグループへのアクセスを不正に取得し、有料コンテンツを不正に利用したり、グループのメンバーシップを操作したりする可能性があります。
CVE-2026-4609 in ProfileGrid – User Profilesを修正するにはどうすればよいですか？
ProfileGridプラグインをバージョン5.9.8.5以上にアップデートしてください。アップデートが利用できない場合は、グループへの招待機能を無効にすることを検討してください。
CVE-2026-4609は積極的に悪用されていますか？
現時点では、公開されているPoCは確認されていませんが、WordPressプラグインの脆弱性は、しばしば悪用される可能性があります。最新の脅威情報に注意してください。
CVE-2026-4609に関するProfileGridの公式アドバイザリはどこで入手できますか？
ProfileGridの公式アドバイザリは、通常、ProfileGridのウェブサイトまたはWordPressのプラグインリポジトリで公開されます。最新の情報については、ProfileGridのサポートにお問い合わせください。
このCVEがあなたのプロジェクトに影響するか確認
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
WordPressプロジェクトを今すぐスキャン — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...