WordPressプラグイン「Click to Chat」に、第三者が意図しないショートコードを実行させる可能性のある脆弱性が報告されました。2026年10月13日に公開された情報によると、バージョン4.44以前が対象です。深刻度はCVSS 9.1と評価されています。Wordfence
Click to Chatとは？
Click to Chatは、Webサイトの訪問者がWhatsAppを使って簡単に問い合わせできるようにするプラグインです。
サイト内にチャットボタンを設置し、クリックするとWhatsAppのアプリやWeb版へ移動できます。問い合わせ先の電話番号を登録したり、あらかじめメッセージを設定したりすることも可能です。
海外の顧客とのやり取りが多い企業や、WhatsAppを利用した顧客サポートなどで活用されています。2026年10月13日時点の有効インストール数は600,000以上です。
今回の脆弱性について
今回の問題は、チャット開始時の挨拶メッセージなどを生成する処理に関係しています。特定の設定では、URLから取得した文字列が適切に処理されず、WordPressのショートコードとして実行される可能性があります。ショートコードは、WordPressのページ内で特定の機能を呼び出す仕組みです。
悪用された場合、導入済みのテーマやプラグインが提供するショートコードによって、意図しない処理が行われるおそれがあります。ただし、任意のPHPコードを無条件に実行できるという意味ではなく、実際の影響はサイトの構成や登録されているショートコードによって異なります。
確認と対策
Click to Chatを利用している場合は、4.45以降へ更新してください。更新後は、チャットボタンの表示、挨拶メッセージ、リンク先、スマートフォンでの動作などを確認しましょう。特に挨拶メッセージへURLを挿入する機能を利用している場合は、優先的な確認をおすすめします。
Click to Chatは多くのサイトで利用されているプラグインです。今回の問題は、普段は便利なショートコードの仕組みが、外部からの入力によって意図しない動作につながる可能性を示しています。
プラグインの更新だけでなく、設定している機能の確認も重要です。
公式情報： WordPress.org — Click to Chat
脆弱性情報： Wordfence — CVE-2026-92097