CVE-2026-85659／CVSS 8.8／2026年10月16日公表
WordPressと顧客管理サービスONTRAPORTを連携する「PilotPress」に、一般会員が管理者アカウントを乗っ取る可能性のある脆弱性が報告されました。
PilotPressとは？
PilotPressは、ONTRAPORTと連携して会員制サイトを構築するためのプラグインです。会員登録、ログイン、購入・サブスクリプション管理、会員ランクによる閲覧制限、アフィリエイト管理などに対応しています。
例えば、有料講座や会員専用コンテンツを提供するサイトで、顧客情報とWordPressの閲覧権限を連動させる用途に利用できます。顧客管理と会員サイトの運用を一元化できる点がメリットです。
今回の脆弱性について
問題は、会員がユーザー名を変更する処理にありました。
ONTRAPORT側のユーザー名変更とWordPress側の重複確認の順序に問題があり、特定の操作によって管理者アカウントの認証情報が書き換えられる可能性があります。
攻撃には、ONTRAPORTと連携した有効な会員アカウントなどが必要です。未ログインの第三者が無条件に攻撃できる問題ではありません。
影響バージョンと対策
2.0.43以前が対象で、2.0.44で修正されています。開発元の公式変更履歴にも、他人のアカウントへの不正ログインを防ぐ修正が明記されています。
WordPress.org
+1
利用中の場合は2.0.44以降へ更新し、会員ログイン、ユーザー名変更、ONTRAPORTとの同期、会員ランクによる閲覧制限を確認してください。管理者アカウントの不審なログインやパスワード変更履歴も点検しましょう。
利用規模： WordPress.org公式の有効インストール数900以上（2026年10月16日確認）。
公式リンク： WordPress.org — PilotPress ／ CVE-2026-85659