Advanced Members for ACF <= 1.2.5 - 認証済み (購読者+) 任意のファイル削除 (パス・トラバーサル)

この脆弱性を悪用されると、認証された攻撃者はSubscriberレベル以上のアクセス権を持つことで、サーバー上の任意のファイルを削除できます。特に、wp-config.phpのような重要な設定ファイルを削除することで、ウェブサイトの完全な制御を奪うことが可能になります。ファイル削除によってリモートコード実行が可能になるため、攻撃者はウェブサイトの改ざん、データの窃取、さらにはサーバー全体の乗っ取りといった深刻な被害をもたらす可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なうリスクを孕んでいます。

WordPress websites utilizing the Advanced Members for ACF plugin, particularly those running older versions (≤1.2.5) and those with Subscriber-level users or higher who have access to plugin functionality. Shared hosting environments where file permissions are not tightly controlled are also at increased risk.

• wordpress / plugin:

wp plugin list

Check if the Advanced Members for ACF plugin is installed and its version. If the version is ≤1.2.5, the system is vulnerable. • wordpress / plugin:

wp plugin update advanced-members-for-acf

Attempt to update the plugin to the latest version (1.2.6 or later). • wordpress / file system: Inspect the WordPress file system for any unusual files or modifications, particularly in directories accessible to the WordPress user. • wordpress / plugin: Review the plugin's code for any instances of file path manipulation or validation that could be exploited.

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-02-26
2. 公開日2026-04-07
3. 更新日2026-04-08
4. EPSS 更新日2026-04-15

まず、Advanced Members for ACFプラグインをバージョン1.2.6にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、ファイルシステムのアクセス権を適切に設定し、攻撃者がファイルを削除できないように制限してください。また、WAF（Web Application Firewall）を導入し、悪意のあるファイル削除リクエストをブロックするルールを設定することも有効です。WordPressのセキュリティプラグインを活用し、ファイル整合性チェックや不正なファイルアクセスを監視することも推奨されます。

アクティブインストール数

30ニッチ

プラグイン評価