イベントカレンダーを表示する「My Calendar」に、ログインしていない第三者が管理者権限を取得できる可能性のある脆弱性が報告されました。My Calendarは、イベントの日程、開催場所、カテゴリー、繰り返し予定などを管理するプラグインです。店舗のイベント案内、講座、地域行事、施設の予定表などで活用でき、アクセシビリティにも配慮されています。
今回のCVE-2026-104798は、公開ページの入力値とショートコードの処理を組み合わせることで、本来許可されていないPHP関数が呼び出され、管理者アカウントの認証情報を変更される可能性がある問題です。
CVSS 9.8で、未ログインから攻撃可能と評価されています。3.8系は3.8.7以前が対象で、3.8.8で修正されています。旧系列にも修正版が提供されています。
利用中の場合は、更新後にイベント一覧、カレンダー表示、検索、繰り返し予定、ショートコードの動作を確認しましょう。管理者アカウントの不審な変更がないかも点検してください。
有効インストール数： 20,000以上。
公式： WordPress.org — My Calendar
脆弱性： Wordfence — CVE-2026-104798