WP Statistics <= 14.16.4 - 認証済み(Subscriber+)の機密情報漏洩とプライバシー監査操作の不正な権限設定

WordPressのWP StatisticsプラグインにおけるCVE-2026-3488は、重大なセキュリティリスクをもたらします。これは「権限不足」の脆弱性であり、不正なユーザーが機密データにアクセスし、変更することを可能にします。具体的には、wpstatisticsgetfilters、wpstatisticsgetPrivacyStatus、wpstatisticsupdatePrivacyStatus、およびwpstatisticsdismissnotices関数が、ユーザーの権限を適切にチェックしていません。これにより、必要な権限なしに攻撃者が統計フィルター情報、プライバシー設定、プライバシー設定の更新、重要な通知の削除などの機密情報を取得する可能性があります。これらのcapabilityチェックの欠如は、データ操作やウェブサイトの乗っ取りにつながる可能性があります。バージョン14.16.4以前は脆弱です。

1. 予約済み2026-03-03
2. 公開日2026-04-17
3. 更新日2026-04-22
4. EPSS 更新日2026-04-24

CVE-2026-3488を軽減するための最も効果的な方法は、WP Statisticsプラグインをバージョン14.16.5以降にすぐにアップデートすることです。このアップデートには、影響を受けるエンドポイントに必要なcapabilityチェックを実装するための修正が含まれています。さらに、WordPressでユーザー権限を確認し、管理者と編集者のみがプラグインの管理機能にアクセスできるようにする必要があります。サーバーログを監視して疑わしいアクティビティを検出し、潜在的な攻撃に対応することも役立ちます。すぐにアップデートできない場合は、Web Application Firewall（WAF）を使用して脆弱なエンドポイントへのアクセスを制限することを検討してください。ただし、これは完全な解決策ではありません。