【2026年10月】TranslatePressに脆弱性｜多言語サイトのコメント表示に注意

WordPressの多言語化プラグイン「TranslatePress」に、第三者が不正なスクリプトをWebページへ埋め込める脆弱性が報告されました。

TranslatePressは、Webサイトを実際に表示しながら文章を翻訳できるプラグインです。

手動翻訳のほか、AIやGoogle翻訳などを利用した自動翻訳にも対応しています。WooCommerceの商品ページ、フォーム、テーマ内の文章なども翻訳できるため、海外向けの企業サイトやネットショップなどで利用されています。

管理画面だけでなく、実際のページを見ながら翻訳内容を調整できる点がメリットです。

2026年10月16日時点の有効インストール数は400,000以上です。

WordPress.org

今回の問題は、コメント内のリンクとTranslatePressの翻訳処理に関係しています。

コメントの内容を適切に無害化できない場合、不正なJavaScriptがページ内に保存され、訪問者がそのページを表示した際に実行される可能性があります。

ただし、攻撃成立には次のような条件があります。

すべてのTranslatePress導入サイトが同じ条件で攻撃されるわけではありません。

Wordfence

3.3.7以前が対象で、3.3.8で修正されています。

開発元の公式変更履歴にも、今回のXSSに対応した修正が明記されています。

利用中の場合は、3.3.8以降へ更新してください。更新後は言語切り替え、翻訳済みページ、コメント表示、翻訳エディターの動作を確認しましょう。

また、コメントを承認なしで公開している場合は、承認制への変更も検討するとよいでしょう。

多言語サイトでは、通常のページ表示に加えて翻訳処理が行われます。コメントや外部入力を扱う機能についても、定期的な更新と設定確認が重要です。