WordPressのページを画面上で組み立てられるページビルダー「Beaver Builder」。
2026年10月2日、Beaver Builder Page Builder 2.11.0.5以下に、ログインしていない第三者から悪用される可能性のある重大な脆弱性が公表されました。CVSSスコアは**9.1（Critical）**です。
ただし、Beaver Builderを使っているすべてのサイトが、そのまま攻撃可能になるわけではありません。今回の問題には一定の成立条件があります。ただ、それでもログイン不要で悪用できる脆弱性なので、該当バージョンを利用している場合は早めに更新しておきましょう。
Beaver Builder 2.11.0.5以下にショートコード実行の脆弱性
今回確認されたのは、外部から任意のショートコードを実行される可能性がある脆弱性です。
WordPressではショートコードを使って、フォームや一覧、プラグインの機能などをページ内に呼び出すことがあります。今回の問題では、Beaver Builderの処理で入力内容を十分に確認しないまま do_shortcode() が実行されるため、条件がそろうとログインしていない第三者から任意のショートコードを実行される可能性があります。
CVE番号はCVE-2026-92084です。
攻撃が成立する条件
ここは少し重要です。
今回の脆弱性は、Beaver Builderをインストールしているだけで、すぐに攻撃できるものではありません。
Wordfenceによると、攻撃が成立するには、Beaver Builderで作成したページにSidebarモジュールが配置され、その中に攻撃者が内容を操作できるウィジェットが入っていることが必要です。
例として挙げられているのが、WordPress標準の**「最近のコメント」ウィジェット**です。コメントの承認が不要になっている場合や、攻撃者のコメントが承認された場合などに、その内容を利用して攻撃される可能性があります。
つまり、Beaver Builderを使っている＝即危険ではありません。
ただし、サイトのどこでどのモジュールやウィジェットを使っているかを把握していない場合もありますので、該当バージョンを利用しているなら更新してしまうのが確実です。
2.11.0.6で修正
今回の問題は、Beaver Builder 2.11.0.6で修正済みです。
Wordfenceでも、2.11.0.6またはそれ以降の修正版への更新が案内されています。
WordPress公式プラグインディレクトリでも、現在2.11.0.6が公開されています。
2.11.0.5以下を利用している場合は、バックアップ → 2.11.0.6以降へ更新 → ページ表示を確認という流れで対応しておきましょう。
Beaver Builderってどんなプラグイン？
Beaver Builderは、WordPressのページをドラッグ＆ドロップで作成できるページビルダーです。
HTMLなどを直接書かなくても、文章、画像、ボタン、動画、メニュー、サイドバーなどのパーツを組み合わせながらページを作ることができます。公式プラグインディレクトリでは、現在10万以上のサイトで利用されています。
Elementorと同じように、「WordPressでもっと自由にレイアウトしたい」というときに使われるタイプのプラグイン。Beaver Builderでは、ページを見ながら編集できるほか、レスポンシブ対応やテンプレート、各種ウィジェット・ショートコードとの連携などもできます。
今回問題になったSidebarモジュールも、WordPressのウィジェットをページ内に配置できる便利な機能の一つです。
便利だからこそ、いろいろなWordPress機能やプラグインと組み合わせて使える。
その分、今回のように組み合わせによって脆弱性が成立するケースもあります。
「Beaver Builderを使っているか分からない」場合は
制作会社や以前の担当者が作ったWordPressサイトの場合、「どのページビルダーを使っているのか分からない」ということがあるかもしれません。
WordPress管理画面の「プラグイン」一覧を開いて、Beaver Builder Page Builderが入っていないか確認してみてください。入っている場合は、あわせてバージョンも確認し、2.11.0.5以下であれば、バックアップを取ったうえで2.11.0.6以降へ更新しておきましょう。
更新後は表示も確認しておきましょう
ページビルダー系のプラグインは、サイトの見た目そのものに関わっています。
そのため、更新後は、
- トップページ
- Beaver Builderで作成した主要ページ
- スマートフォン表示
- Sidebarモジュールを使用しているページ
- コメント欄
- 管理画面の編集機能
などが正常に動いているか確認しておくと安心です。
また、今回の条件に当てはまりそうなサイトでは、不審なコメントやユーザー、投稿内容の変更などがないかも確認しておきましょう。