WordPressでカスタム投稿タイプやカスタムフィールドなどを管理できる「ACPT」。
その有料版であるACPT Pro 2.0.66以下に、サーバー上で任意のコードを実行される可能性がある重大な脆弱性が公表されました。
CVE番号はCVE-2026-105701、CVSSスコアは**8.8（High）**です。
今回対象となるのはACPT Proです。無料版のACPT Liteのみを利用している場合は、今回の脆弱性の対象ではありません。Patchstackでは、影響バージョンを2.0.66以下、修正版を2.0.67として案内しています。
ACPT Pro 2.0.66以下にリモートコード実行の脆弱性
今回確認されたのは、**Remote Code Execution（RCE：リモートコード実行）**と呼ばれる脆弱性です。攻撃者がサーバー上で本来許可されていないプログラムや命令を実行できる可能性がある問題です。
Patchstackによると、今回の脆弱性では購読者（Subscriber）以上の権限を持つユーザーから悪用できる可能性があります。つまり完全な未認証攻撃ではありませんが、WordPressの中では比較的低い権限のアカウントでも条件を満たす点に注意が必要です。
2.0.67以降へアップデートを
この問題はACPT Pro 2.0.67で修正済みとされており、Patchstackでも、2.0.67以降への更新が推奨されています。
ACPT公式の変更履歴を見ると、2.0.67ではREST APIの認証強化や、公開フォームによる不正なレコード上書き対策、悪意あるデータへの対策、リッチテキストフィールドのセキュリティ修正など、複数のセキュリティ強化が行われています。
現在の公式変更履歴では、2.1.2が最新バージョン。そのため、2.0.66以下を使用している場合は、バックアップを取ったうえで、少なくとも2.0.67以降へ更新しておきましょう。
ACPTってどんなプラグイン？
ACPTは、WordPressで扱うデータをかなり柔軟に作れるプラグイン。
たとえば、
- カスタム投稿タイプ
- カスタムタクソノミー
- カスタムフィールド
- フロントエンドフォーム
- カスタムデータベーステーブル
- 動的ブロック
- ページビルダーとの連携
などをまとめて管理できます。
ACPT公式でも、カスタム投稿タイプやメタフィールド、カスタムデータベーステーブル、フォーム、動的ブロックなどを一つのプラグインで扱えるWordPress向けデータフレームワークとして紹介されています。
こういった仕組みをプログラムで一から作ることもできますが、ACPTを使えば管理画面から設定できるため、サイト制作ではかなり便利なタイプのプラグインです。
Pro版ではさらに多くの機能を扱います
ACPT Proでは、単純にカスタム投稿タイプを作るだけではなく、フロントエンドフォームやページビルダーとの連携など、サイトの表示や入力処理に関わる機能も利用できます。
公式サイトでは、60種類以上のメタフィールドや、フロントエンドフォーム、動的ブロック、20以上のページビルダー連携などが案内されています。
特に、管理画面を使いやすく整えたり、投稿者が入力しやすい仕組みを作ったりするときには、こうしたプラグインがかなり役立ちます。そのぶん、サイトのデータ構造そのものに深く関わるプラグインでもあるので、更新時には少し丁寧に確認しておきたいところです。
購読者アカウントがあるサイトは特に確認を
今回の脆弱性は、購読者以上の権限を持つユーザーが必要です。
そのため、
- WordPressのユーザー登録を許可している
- 会員サイトとして利用している
- 購読者アカウントを発行している
- 外部ユーザーがログインできる仕組みがある
といったサイトでは、特に早めに確認しておきましょう。
古いバージョンを使用していた場合は、アップデートだけでなく、
- 見覚えのないユーザーが追加されていないか
- 不審なPHPファイルなどが置かれていないか
- 最近変更されたファイルに不自然なものがないか
- アクセスログに不審な通信がないか
といった点も確認しておくと安心です。
2.1系へ更新する場合は動作確認も
現在のACPTは2.1系になっています。
2.1.0では、カスタムコンテンツタイプ、統合された新しいCanvas UI、Meta Keys Manager、WordPressのBlock Bindings対応、Abilities APIなど、大きめの機能追加・変更が行われています。
そのため、2.0系から2.1系へまとめて更新する場合は、
- カスタム投稿タイプ
- カスタムフィールド
- フロントエンドフォーム
- リピーターフィールド
- ページビルダーとの連携
- 管理画面の入力項目
- 公開ページの表示
などを一通り確認しておくのがおすすめです。
2.1.1や2.1.2でも、フィールド保存やページビルダー連携、フォームなどに関する修正が継続して行われています。
無料版のみなら今回の対象外
今回の脆弱性情報で対象となっているのはACPT Proです。
無料版のACPT Liteのみを利用している場合や、そもそもACPTを導入していないサイトについては、今回のCVE-2026-105701の対象ではありません。
「ACPTという名前を見たことがあるけれど、Proなのか無料版なのか分からない」
という場合は、WordPress管理画面のプラグイン一覧やACPTのライセンス情報から確認してみてください。
ACPT Proを利用中なら早めにアップデートを
今回のACPT Proの脆弱性は、購読者権限以上が必要という条件はあるものの、サーバー上で任意のコードを実行される可能性があるRCE。CVSSスコアも8.8と高く評価されています。
ACPT Pro 2.0.66以下を利用している場合は、バックアップ → 2.0.67以降へ更新 → 各機能の動作確認まで、できるだけ早めに行っておきましょう。現在の最新版へ更新する場合は、カスタム投稿やメタフィールド、フォーム、ページビルダー連携などもあわせて確認しておくと安心です。
ACPTのような高機能なプラグインは、WordPressサイトを便利に作れる頼もしい存在です。
便利に使い続けるためにも、セキュリティアップデートは早めに適用しておきましょう。