WordPressでイベント情報やカレンダーを管理できる人気プラグイン「The Events Calendar」。
2026年10月、The Events Calendar 6.17.4以下を対象とした重大な脆弱性情報が更新されています。特に注意したいのが、ログインしていない第三者から悪用できる**リモートコード実行（RCE）**です。CVE番号はCVE-2026-78006、CVSSスコアは最高レベルに近い9.8（Critical）。
さらにWordfenceでは、この脆弱性を狙った攻撃を実際に多数ブロックしていることも報告されています。The Events Calendarを利用している場合は、優先して現在のバージョンを確認してください。
The Events Calendarとは
The Events Calendarは、WordPressサイトにイベント情報やカレンダー機能を追加できるプラグインです。
イベントの日付、会場、主催者などを登録し、
- イベント一覧
- カレンダー表示
- イベント詳細ページ
- 会場・主催者情報
- ウィジェット
- オンライン・対面イベント
などを管理できます。
追加機能を利用すれば、繰り返しイベント、チケット販売、ユーザーからのイベント投稿などへ拡張することもできます。WordPress公式ディレクトリでは、60万以上のサイトで利用されています。
イベントを定期的に開催する企業、店舗、学校、団体、施設などでは使いやすいプラグインです。
それだけに、重大な脆弱性が出た場合の影響範囲も大きくなります。
6.17.4以下に未認証のリモートコード実行
特に重要なのが、CVE-2026-78006です。
The Events Calendar 6.17.4以下では、特定の処理を悪用することで、WordPressへログインしていない第三者からサーバー上でコードを実行できる可能性があります。CVSSスコアは**9.8（Critical）**です。
リモートコード実行、いわゆるRCEは、WordPressの脆弱性の中でも特に注意したい種類です。
攻撃が成功すると、条件によっては、
- サイトの改ざん
- 不正ファイルの設置
- マルウェアの設置
- 情報の取得
- さらに別の攻撃への利用
などにつながる可能性があります。
ただし、RCEには成立条件があります
今回のCVE-2026-78006は、The Events Calendarを使っているすべてのサイトで、そのまま攻撃できるわけではありません。
Wordfenceによると、イベント投稿でコメントが有効になっており、コメントがイベントページ上で表示される構成であることが主な条件です。攻撃者はコメントへ細工したデータを送り、そのコメントを利用して脆弱な処理を通過させることでコード実行につなげる可能性があります。
しかも通常のコメント承認を待つ必要がない方法が存在するため、未認証の状態で攻撃可能とされています。
条件付きとはいえ、かなり注意が必要です。
実際の攻撃試行も確認されています
今回は「理論上攻撃できる」というだけではありません。
Wordfenceの脆弱性情報では、CVE-2026-78006を狙った攻撃について、直近24時間で6,177件をブロックしたと記録されています。数字は時間とともに変化しますが、実際にこの脆弱性を狙う通信が存在しているという点は重要です。
そのため、「条件付きだから急がなくてもいい」とは考えず、該当バージョンであれば早めに更新することをおすすめします。
もう一つ、PHP Object Injectionも確認
2026年10月2日には、別のPHP Object Injectionの脆弱性も公開されています。CVE番号はCVE-2026-95606、CVSSは8.1（High）。こちらもThe Events Calendar 6.17.4以下が対象で、ログインしていない第三者から細工したPHPオブジェクトを注入できる可能性があります。
この脆弱性だけではThe Events Calendar内に攻撃を完結できる仕組みが確認されていません。
しかし、同じWordPressサイトにインストールされている別のテーマやプラグインに利用可能な処理、いわゆる「POP chain」が存在すると、
- 任意ファイルの削除
- 機密情報の取得
- コード実行
などにつながる可能性があります。
WordPressは複数のテーマやプラグインを組み合わせて使うことが多いため、このタイプの問題も軽視はできません。
修正版は6.17.4.1以降
今回の2件について、Wordfenceでは6.17.4.1で修正済みとしています。ただし、その後にもThe Events Calendarでは複数のセキュリティ強化が行われています。6.17.5、6.17.5.1でもREST APIやQRコード表示などに関するセキュリティ修正が行われ、2026年9月30日には6.18.0が公開されています。そのため、互換性に問題がなければ、単に6.17.4.1まで上げるのではなく、現在の最新版6.18.0への更新を検討するのが分かりやすいと思います。
6.18.0はWordPress 6.9以上が必要
2026年10月現在、The Events Calendar 6.18.0の動作要件は、WordPress 6.9以上
PHP 7.4以上となっています。
そのため、かなり古いWordPressを使用しているサイトでは、「The Events Calendarだけ最新版へ更新」というわけにはいかない場合があります。WordPress本体が古い場合は、本体、PHP、テーマ、ほかのプラグインとの互換性を確認しながら更新する必要があります。
特別な理由がなければ、この機会にWordPress本体も現在のセキュリティ更新済みバージョンへ移行してい。
すぐに更新できない場合はコメント停止も検討
互換性などの事情ですぐに更新できない場合、少なくともCVE-2026-78006への一時的な対策として、イベント投稿のコメント機能を停止することを検討してください。今回のRCEはイベントページのコメント表示が成立条件になっています。ただし、これはあくまで一時的な対処です。
PHP Object Injectionなど別の問題も存在するため、「コメントを止めたから古いバージョンのままで大丈夫」ということではありません。更新できる状態になったら、できるだけ早めに修正版へ移行しましょう。
利用していないプラグインであれば、一時的な無効化や削除も選択肢です。
古いバージョンを使っていた場合はサイト内も確認
The Events Calendar 6.17.4以下を公開状態で利用していた場合は、アップデートだけでなく、一度サイトの状態も確認しておきましょう。
特に、
- イベント投稿への不審なコメント
- 見覚えのないPHPファイル
- 最近変更されたテーマ・プラグインファイル
- 見覚えのない管理者アカウント
- 不自然な投稿や設定変更
- アクセスログ
などを確認しておくと安心です。
実際の攻撃試行が確認されている脆弱性なので、「最新版にしたから終わり」ではなく、古い状態で公開していた期間についても確認しておく意味があります。
更新後はイベント表示や連携機能を確認
The Events Calendarはサイトの表示やイベント管理に深く関わるプラグインです。
更新後は、
- イベント一覧
- イベント詳細ページ
- 月間・リストなどのカレンダー表示
- イベント用ウィジェット
- 会場・主催者情報
- コメントを使用している場合はコメント機能
- 予約・チケット関連
- 有料版や関連アドオンとの連携
など、そのサイトで利用している機能を確認しておきましょう。
すべての機能を確認する必要はなく、実際にサイトで利用している部分を一通り見ておけば大丈夫です。
The Events Calendar利用者は最優先で確認を
The Events Calendarは、60万以上のサイトで利用されている非常に人気のあるイベント管理プラグインです。問題はすでに修正されています。
ただし今回は、
未認証のRCE
CVSS 9.8
実際の攻撃試行あり
さらに別のPHP Object Injectionも存在
という内容です。
The Events Calendarを利用している場合は、現在のバージョン確認 → バックアップ → 最新版へ更新 → サイト内の不審な変更を確認 → イベント機能の動作確認まで、優先して行っておきましょう。