WordPressプラグイン「AcyMailing」に、保存型クロスサイトスクリプティング（XSS）の脆弱性が報告されました。2026年10月12日に公開された情報によると、バージョン11.1.0以前が対象です。
この問題は、10月6日に公開された11.1.1で修正されています。
AcyMailingとは？
AcyMailingは、WordPressからメールマガジンやニュースレターを配信するためのプラグインです。
ドラッグ＆ドロップによるメール作成、購読者リストの管理、配信予約、自動配信などの機能を備えています。
例えば、企業のお知らせを定期配信したり、ネットショップの顧客に商品情報を届けたりできます。
WordPressの記事をメールに組み込むこともでき、Webサイトの情報発信とメールマーケティングを連携させられる点が特徴です。
WordPress.orgによると、有効インストール数は5,000以上です（2026年10月13日確認）。
今回の脆弱性について
今回報告されたのは、購読者登録時のカスタムフィールドに関係する保存型XSSの脆弱性です。外部から入力されたデータの処理が不十分だったため、不正なスクリプトを含む情報が保存される可能性があります。その情報がメールのオンラインアーカイブに表示された場合、閲覧したユーザーのブラウザーで不正なスクリプトが実行されるおそれがあります。
管理者が該当するアーカイブを閲覧した場合にも影響する可能性があります。
確認と対策
AcyMailingを利用している場合は、バージョン11.1.1以降へ更新してください。
更新前にはバックアップを取得し、更新後は購読者登録フォーム、メール作成、テスト配信、オンラインアーカイブの表示を確認しましょう。また、購読者のカスタムフィールドを利用している場合は、不要な項目が残っていないか確認しておくこともおすすめします。
メール配信プラグインでは、購読者の氏名やメールアドレスなど、個人情報を扱う機会があります。
今回のような脆弱性が報告された場合は、メール配信機能だけでなく、購読者登録フォームやオンラインアーカイブなども含めて確認することが大切です。