プラットフォーム
wordpress
コンポーネント
wpforo
修正版
2.4.17
CVE-2026-3666は、WordPressプラグインwpForo Forumにおける任意ファイルアクセス脆弱性です。認証された攻撃者は、パス・トラバーサル攻撃を利用して、サーバー上の任意のファイルを削除することが可能です。この脆弱性は、wpForo Forumのバージョン0.0.0から2.4.16に影響を与え、バージョン2.4.17で修正されています。
この脆弱性を悪用されると、攻撃者はwpForo Forumを介してWordPressサイト上の重要なファイルを削除できるようになります。例えば、設定ファイル、データベース接続情報、またはアプリケーションコードを削除することで、サイトの機能を停止させたり、機密情報を盗み出したりする可能性があります。攻撃者は、subscriberレベル以上のアクセス権を持つユーザーであれば、この脆弱性を悪用できます。この脆弱性は、WordPressサイトの完全な停止や、機密情報の漏洩につながる重大なリスクをもたらします。
このCVEは2026年4月4日に公開されました。現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル攻撃は一般的な攻撃手法であり、悪用される可能性は否定できません。CISA KEVカタログへの登録状況は不明です。
エクスプロイト状況
EPSS
0.03% (10% パーセンタイル)
CISA SSVC
まず、wpForo Forumプラグインをバージョン2.4.17以降にアップデートすることを強く推奨します。アップデートが困難な場合は、wpForo Forumのファイルアップロード機能の使用を一時的に停止するか、ファイル名やパスの検証を厳格化するカスタムコードを実装することを検討してください。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。アップデート後、wpForo Forumのファイル削除機能が正常に動作することを確認してください。
バージョン2.4.17、またはそれ以降の修正バージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-3666は、WordPressプラグインwpForo Forumのバージョン0.0.0～2.4.16において、認証された攻撃者がパス・トラバーサル攻撃を利用して、サーバー上の任意のファイルを削除できる脆弱性です。
はい、wpForo Forumのバージョン0.0.0～2.4.16を使用しているWordPressサイトは、この脆弱性によって攻撃を受け、サーバー上のファイルが削除されるリスクがあります。
wpForo Forumプラグインをバージョン2.4.17以降にアップデートしてください。アップデートが困難な場合は、一時的にファイルアップロード機能を停止するか、ファイル名やパスの検証を厳格化するカスタムコードを実装してください。
現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル攻撃は一般的な攻撃手法であり、悪用される可能性は否定できません。
wpForo Forumの公式ウェブサイトまたはWordPressプラグインリポジトリで、CVE-2026-3666に関するアドバイザリをご確認ください。
CVSS ベクトル
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。