WebStack <= 1.2024 - 認証されていない任意のファイルアップロード

WordPressのWebStackテーマにおけるCVE-2026-1555脆弱性は、そのテーマを使用しているウェブサイトにとって重大なセキュリティリスクをもたらします。ioimgupload()関数におけるファイルタイプの検証の欠如により、認証されていない攻撃者がサーバーに任意のファイルをアップロードできるようになります。これは、攻撃者が悪意のあるファイル（ウェブシェルなど）をアップロードし、サーバー上でコードを実行して、WordPressのインストール全体、機密性の高いユーザーデータ、ウェブサイトの整合性を損なう可能性があることを意味します。この脆弱性は、1.2024までのすべてのバージョンのテーマに影響を与えるため、潜在的に脆弱なウェブサイトの広範囲に及ぶ可能性があります。問題の深刻さは、修正プログラム（fix）が存在しないことからさらに悪化し、リスクを軽減するための迅速な対応が必要です。

1. 予約済み2026-01-28
2. 公開日2026-04-14
3. 更新日2026-04-15
4. EPSS 更新日2026-04-22

WebStackテーマの開発者から公式な修正プログラムが提供されていないため、CVE-2026-1555の軽減には代替手段が必要です。主な推奨事項は、WebStackテーマを直ちに無効化して削除することです。テーマの使用が不可欠な場合は、危険な拡張子を持つファイルのアップロードをブロックするファイアウォールルール（WAF）を実装するか、サーバーレベルでより厳格なファイルタイプ検証を実装することを検討してください。さらに、プラグインやコアなど、WordPressのインストール全体を最新バージョンに保ち、攻撃対象領域を縮小することが重要です。サーバーログを監視して疑わしいアクティビティを検出することも、潜在的な悪用試行に対応するのに役立ちます。