WordPressプラグイン WP Maps Proで重大な脆弱性 CVE-2026-8732-サイバー攻撃への悪用確認

WordPress向けプラグイン WP Maps Pro に、未認証の攻撃者がWordPressの管理者アカウントを作成できる重大な脆弱性 CVE-2026-8732 が公開されました。

Wordfenceによると、この脆弱性は WP Maps Pro 6.1.0以前に影響し、認証されていない攻撃者が新しい管理者アカウントを作成し、対象サイトを完全に乗っ取る可能性があります。CVSS v3.1スコアは9.8で、Criticalに分類されています。

Patchstackも同脆弱性について Known to be exploited として悪用確認済みの扱いで公開しており、対象プラグインを利用しているWordPressサイトでは、早急な更新と不審な管理者アカウントの確認が必要です。

この記事のサマリー

• WP Maps Pro に CVE-2026-8732 として管理される重大脆弱性が公開されました。
• CVSS v3.1スコアは9.8で、Criticalに分類されています。
• WordfenceとNVDでは、影響バージョンは WP Maps Pro 6.1.0以前とされています。
• Patchstackでは WP Maps Pro 6.0.4以前と記載されていますが、開発元も6.1.0以下を影響対象として案内しているため、6.1.0以下は影響対象として扱うべきです。
• 未認証の攻撃者がWordPress管理者アカウントを作成し、サイトを完全に乗っ取る可能性があります。
• 修正版は WP Maps Pro 6.1.1 です。
• WePlugins Coreを利用している場合は、WePlugins Core 1.0.7への更新も案内されています。
• すでに [email protected] に関連する管理者アカウントや、不明な管理者アカウントが作成されていないか確認が必要です。

WP Maps Proとは

WP Maps Proは、WordPressサイトにGoogle MapsやOpenStreetMapベースの地図、店舗検索、拠点一覧、投稿やカスタム投稿タイプの地図表示などを追加できる商用プラグインです。

CodeCanyon上では Store Locator for WordPress – Google Maps | OpenStreetMap | MapBox として提供されており、店舗検索、施設案内、拠点マップ、カテゴリ絞り込み、カスタム投稿の地図表示などに使われます。

企業サイト、店舗検索ページ、医療機関・教育機関・不動産・小売・サービス業の拠点検索ページなどで利用される可能性があり、WordPress本体やテーマではなく、外部プラグインとして導入されている点に注意が必要です。

何が起きたか

Wordfenceは、WP Maps Proに未認証の管理者アカウント作成脆弱性があると公表しました。

この脆弱性は、WP Maps Proの Temporary Access 機能に関連しています。本来はベンダーのサポート担当者がトラブルシューティング時に一時的にログインするための機能ですが、権限チェックが不十分だったため、未認証の第三者でも処理を呼び出せる状態になっていました。

Wordfenceによると、問題のAjaxアクションは未認証ユーザーから呼び出せる形で登録されており、nonceチェックは存在したものの、そのnonceがフロントエンドページ上のJavaScriptオブジェクトに埋め込まれていたため、実質的なアクセス制御として機能していませんでした。

その結果、攻撃者は管理者権限を持つWordPressユーザーを作成し、返却されたログインURLを使って、パスワードなしで新規管理者として認証される可能性がありました。

脆弱性の概要

原因

原因は、Temporary Access機能に関する権限チェックの不足です。

問題の処理では、未認証ユーザーから呼び出せるAjaxアクションが登録されており、nonceチェックだけで保護されていました。しかし、そのnonceはフロントエンドページに埋め込まれており、サイト訪問者が取得できる状態でした。

nonceはリクエストの正当性確認には使えますが、権限を確認する仕組みではありません。今回のように、誰でも取得できるnonceだけで重要処理を保護していた場合、認証・認可の代わりにはなりません。

Wordfenceの分析では、この処理を通じて、[email protected] のメールアドレスを持つ管理者アカウントが作成される可能性がありました。さらに、作成されたアカウントに対してログイン用URLが生成され、攻撃者がそのURLへアクセスすることでWordPress管理者としてログインできる可能性があります。

開発元のWePluginsも、Temporary Access機能に関連する問題として、未認可ユーザーが [email protected] を使って作成されたアカウント経由で管理者アクセスを取得できた可能性を案内しています。

修正版の内容

開発元は WP Maps Pro 6.1.1 で修正を行いました。

Wordfenceによると、修正版では問題のAjax処理に対して current_user_can('manage_options') による権限チェックが追加され、認証済みの管理者のみが処理を実行できるようになりました。

WePluginsは、WP Maps Pro 6.1.1 に加え、WePlugins Coreを利用しているユーザーに対して WePlugins Core 1.0.7 への更新も案内しています。

利用者は、WP Maps Proの購入元や配布形態に応じて、CodeCanyon版またはWePlugins Subscription版の更新手順を確認する必要があります。

影響範囲

影響を受ける可能性があるのは、WP Maps Proを導入しているWordPressサイトです。

Wordfenceは、WP Maps Proについて15,000件以上の販売実績があると説明しています。CodeCanyon上でも同プラグインは多数販売されており、店舗検索や拠点表示などに使われる可能性があります。

特に注意が必要なのは、以下のようなサイトです。

WordPressサイトの管理を外部制作会社や保守ベンダーへ委託している場合、自社側でWP Maps Proの導入有無を把握していないことがあります。テーマや固定ページ上で地図が表示されているだけでは、どのプラグインを使っているか分からないため、管理画面やサーバー上のプラグイン一覧で確認する必要があります。

すぐに実施すべき対応

Step 1：WP Maps Proの利用有無を確認する

まず、自社サイトでWP Maps Proを利用しているか確認してください。

WordPress管理画面のプラグイン一覧、またはサーバー上のプラグインディレクトリを確認します。

ls -la wp-content/plugins/ | grep -i "wp-google-map"
ls -la wp-content/plugins/ | grep -i "wpgmp"
ls -la wp-content/plugins/ | grep -i "maps"

プラグイン名がWP Maps Proとして表示されていない場合でも、ディレクトリ名や内部識別子として wp-google-map-gold が使われている可能性があります。

Step 2：WP Maps Pro 6.1.1以降へ更新する

WP Maps Proを利用している場合は、6.1.1以降へ更新してください。

Wordfence、NVD、開発元のWePluginsは6.1.0以下を影響対象として扱っています。Patchstackでは6.0.4以下と記載されていますが、運用上は6.1.0以下を危険なバージョンとして扱うべきです。

WePlugins Subscription版を利用している場合は、WePlugins Core 1.0.7への更新も実施してください。

Step 3：不審な管理者アカウントを確認する

開発元は、WordPress管理画面のユーザー一覧を確認し、[email protected] に関連するアカウントや、不明な管理者アカウントを削除するよう案内しています。

確認対象は以下です。

WP-CLIが利用できる場合は、以下のように管理者ユーザーを確認できます。

wp user list --role=administrator

不審な管理者アカウントが見つかった場合は、単に削除するだけでなく、サイト全体が侵害されている前提で調査してください。

Step 4：管理者パスワードと認証情報を変更する

不審な管理者アカウントが見つかった場合、攻撃者がすでに管理画面へログインし、別のバックドアやプラグインを設置している可能性があります。

以下を確認してください。

Step 5：改ざん・マルウェア設置の有無を確認する

管理者権限を奪われたWordPressでは、攻撃者が悪意あるプラグインやテーマ改ざんを行う可能性があります。

確認すべき項目は以下です。

以下のような簡易確認も有効です。

find wp-content/uploads -type f -name "*.php"
find wp-content -type f -mtime -14
grep -Rni "eval\|base64_decode\|gzinflate\|shell_exec\|passthru" wp-content 2>/dev/null

ただし、これだけで安全を確認できるわけではありません。侵害が疑われる場合は、バックアップとの差分確認、WAFログ、Webアクセスログ、WordPress監査ログをあわせて確認してください。

Step 6：アクセスログで悪用の痕跡を確認する

CVE-2026-8732では、WordPressのAjax処理やTemporary Access機能に関するリクエストが悪用される可能性があります。

確認すべきログは以下です。

ログ調査では、脆弱性公表後だけでなく、WordfenceがPoCを検証した2026年5月16日以降、さらに余裕を持って過去ログを確認することが望まれます。

WordPress運用者が確認すべきポイント

WP Maps Proを使っていないサイトでも、今回の事案はWordPress運用全体の確認材料になります。

WordPressサイトでは、地図、フォーム、スライダー、バックアップ、キャッシュ、SEO、会員管理、決済連携など、多数のプラグインが導入されがちです。不要になったプラグインや、制作会社が導入したまま放置された商用プラグインは、脆弱性対応から漏れやすくなります。

確認すべき項目は以下です。

特に商用プラグインは、WordPress公式ディレクトリの自動更新だけでは管理できない場合があります。CodeCanyonや開発元アカウント、ライセンス管理、手動アップロードの手順まで確認してください。

今後確認すべきこと

今回のCVE-2026-8732は、管理者アカウント作成に直結するため、脆弱な状態で公開されていたサイトでは、更新後も侵害調査が必要です。

今後確認すべき点は以下です。

参考情報・出典

Wordfence：15,000 WordPress Sites Affected by Administrator Account Creation Vulnerability in WP Maps Pro WordPress Plugin

関連記事

Sambaに2件の致命的な脆弱性-CVE-2026-4408とCVE-2026-4480 Drupal coreで危険度の高い脆弱性(CVE-2026-9082)、SQLインジェクションの恐れ DrupalCoreのSQLインジェクション 脆弱性 CVE-2026-9082が実際のサイバー攻撃に悪用 WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063) PHP 8.5.6・8.4.21・8.3.31・8.2.31で複数の脆弱性を修正 Dellへ不正アクセスと情報漏洩の疑惑 2024年9月に3回発生か GitHubの内部リポジトリへの不正アクセス、VS Code 拡張機能から侵害される 削除したGoogle APIキーが最大23分間有効のまま、Googleは報告を「修正しない（Won’t Fix）」としてクローズ 日米のアラスカ原油 調達/開発 協力は何を変えるのか 日本の安全保障への影響を解説

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)