WordPress向けセキュリティプラグイン「Advanced IP Blocker」に、ログイン認証を回避されるおそれがある重大な脆弱性が報告されました。
バージョン8.13.13以前が対象で、8.13.14以降への更新が必要です。
Advanced IP Blockerとは？
Advanced IP Blockerは、不審なIPアドレスからのアクセス制御やログイン保護など、複数のセキュリティ機能を備えたプラグインです。主な機能には、IPアドレスのブロック、WAF、ログイン試行回数の制限、二要素認証、ファイルの改変検知などがあります。
WordPress管理画面からさまざまな保護設定を行える点が特徴です。
WordPress.orgの有効インストール数は2,000以上です（2026年10月12日確認）。
今回の脆弱性について
今回の問題は、二要素認証（2FA）のログイン処理に関する認証回避の脆弱性です。
二要素認証は、通常のパスワードに追加の確認手段を設けることで、不正ログインを防ぐ仕組みです。しかし、この認証処理自体に問題があると、アカウント保護が十分に機能しなくなる可能性があります。
- 脆弱性：CVE-2026-104732
- 深刻度：CVSS 9.8（Patchstack）
- 対象：8.13.13以前
- 修正版：8.13.14以降
- 公開日：2026年10月9日
確認と対策
Advanced IP Blockerを利用している場合は、管理画面のプラグイン一覧でバージョンを確認し、修正版へ更新してください。更新後は、二要素認証が正常に動作するか、管理者自身がログインできるかを確認しましょう。セキュリティプラグインの設定変更や更新時には、管理画面から締め出されないよう、バックアップや復旧手段を確保しておくことも重要です。
まとめ
セキュリティ対策用のプラグインも、通常のプラグインと同じように更新・保守が必要です。
導入しただけで安心するのではなく、定期的に更新状況を確認しましょう。
公式・関連情報