プラットフォーム
wordpress
コンポーネント
siteorigin-panels
修正版
2.33.6
Page Builder by SiteOriginプラグインのバージョン0.0.0から2.33.5までのインスタンスにおいて、ローカルファイルインクルージョン（LFI）の脆弱性が確認されています。この脆弱性は、認証された攻撃者がContributorレベル以上のアクセス権限を持つ場合に悪用され、サーバー上の任意のファイルをインクルードして実行することが可能となり、深刻なセキュリティリスクをもたらします。バージョン2.34.0へのアップデートでこの問題は修正されています。
この脆弱性を悪用されると、攻撃者はWordPressサイト上で任意のPHPコードを実行できる可能性があります。攻撃者は、Contributor以上の権限を持つアカウントを悪用し、locate_template()関数を通じて、サーバー上の機密ファイル（設定ファイル、データベース接続情報など）をインクルードし、その内容を盗み出すことが考えられます。さらに、攻撃者は悪意のあるPHPコードをインクルードし、バックドアを設置したり、サイトを改ざんしたり、他のシステムへの攻撃の足がかりにすることも可能です。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大なリスクとなります。
この脆弱性は、2026年3月3日に公開されました。現時点では、公開されているPoCは確認されていませんが、LFI脆弱性であるため、攻撃者による悪用が懸念されます。CISA KEVカタログへの登録状況は不明です。この脆弱性は、WordPressサイトのセキュリティを脅かす重大なリスクであり、早急な対応が必要です。
WordPress websites utilizing the Page Builder by SiteOrigin plugin, particularly those with multiple contributors or users with elevated privileges, are at risk. Shared hosting environments where users have limited control over server configuration are also particularly vulnerable, as they may be unable to implement effective mitigation strategies beyond plugin updates.
• wordpress / composer / npm:
wp plugin list | grep 'Page Builder by SiteOrigin'• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
grep -r 'locate_template(' /var/www/wordpress/wp-content/plugins/page-builder-siteorigin/*• generic web: Check WordPress plugin directory for updated version and security advisories.
disclosure
エクスプロイト状況
EPSS
0.10% (28% パーセンタイル)
CISA SSVC
CVSS ベクトル
まず、Page Builder by SiteOriginプラグインをバージョン2.34.0以降にアップデートすることを強く推奨します。アップデートが困難な場合は、プラグインの機能を一時的に無効化するか、アクセス制限を強化することでリスクを軽減できます。Webアプリケーションファイアウォール（WAF）を導入し、locate_template()関数への不正なアクセスを検知・遮断するルールを設定することも有効です。また、WordPressのファイルパーミッションを適切に設定し、攻撃者がファイルを書き換えられないようにすることも重要です。アップデート後、プラグインの動作を確認し、セキュリティログを監視して不正なアクセスがないか確認してください。
バージョン2.34.0、またはそれ以降の修正されたバージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-2448は、Page Builder by SiteOriginプラグインのバージョン0.0.0～2.33.5において、locate_template()関数におけるローカルファイルインクルージョン脆弱性です。攻撃者はこの脆弱性を悪用して、サーバー上の任意のファイルをインクルード・実行できます。
Page Builder by SiteOriginプラグインのバージョン0.0.0～2.33.5を使用している場合は、影響を受けます。バージョン2.34.0以降にアップデートしてください。
Page Builder by SiteOriginプラグインをバージョン2.34.0以降にアップデートしてください。アップデートが困難な場合は、プラグインの機能を一時的に無効化するか、アクセス制限を強化してください。
現時点では、公開されているPoCは確認されていませんが、LFI脆弱性であるため、攻撃者による悪用が懸念されます。
Page Builder by SiteOriginプラグインの公式アドバイザリは、プラグインの公式サイトまたはWordPress.orgのプラグインページで確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。