【2026年10月】Theme My Loginに重大な脆弱性｜マルチサイトのアカウント乗っ取りに注意

WordPressのログイン画面をカスタマイズする「Theme My Login」に、第三者が既存ユーザーのパスワードを変更できる重大な脆弱性が報告されました。

Theme My Loginは、標準のログイン画面をWebサイトのデザインに合わせたページへ変更できるプラグインです。会員登録、ログイン、パスワード再設定などをサイト内で提供でき、会員制サイトやコミュニティサイトで活用できます。

今回のCVE-2026-89079は、WordPressマルチサイトの特定の構成で、本人確認が不十分なままパスワード変更処理が実行される問題です。管理者アカウントを乗っ取られると、サイトの管理権限を奪われるおそれがあります。通常の単一サイトでも同じ条件で攻撃が成立するとは確認されていません。

影響するのは7.2.1以前で、7.2.2で修正されています。現在は7.3.1が公開されています。更新後はログイン、会員登録、パスワード再設定、有料拡張機能との互換性を確認してください。

有効インストール数： 50,000以上。