WordPressでイベント情報を管理するプラグイン「The Events Calendar」に、セキュリティ対策を含むアップデートが公開されました。
2026年10月15日に公開されたバージョン6.18.2では、Elementorウィジェットで指定できるHTMLタグを、安全性を考慮した固定リストに制限する変更が行われています。
The Events Calendarとは？
The Events Calendarは、イベントの開催日時、会場、主催者、カテゴリーなどを登録し、カレンダー形式や一覧形式で表示できるプラグインです。
企業のイベント案内、地域行事、セミナー、展示会、店舗の催しなどに利用できます。
イベント情報を一元管理し、開催日や会場ごとに整理して公開できる点がメリットです。有料の関連製品を組み合わせることで、繰り返しイベントやチケット販売などにも対応できます。
WordPress.org公式によると、有効インストール数は600,000以上です（2026年10月17日確認）。これは利用者人数ではなく、稼働中のインストール数を示す指標です。
WordPress.org English (Canada)
今回のセキュリティ修正について
今回の更新では、ElementorウィジェットのHTMLタグ設定に使用できるタグを、あらかじめ許可された種類に制限するよう変更されました。
HTMLタグの指定を適切に制限することは、意図しないHTMLの生成を防ぎ、安全性を高めるために重要です。
ただし、今回の変更について、具体的な脆弱性番号、攻撃方法、実際の被害事例などは確認できていません。そのため、特定の攻撃が成立すると断定することは避けます。
影響バージョンと確認・対策
修正版は6.18.2です。
更新前にはバックアップを取得し、更新後はイベントのカレンダー表示、一覧・詳細ページ、Elementorで作成したイベント関連ウィジェットを確認しましょう。
また、開発元はtec_events_elementor_widget_allowed_tagsというフィルターも追加しています。独自のHTMLタグを使用している場合は、表示への影響を確認してください。
イベント管理プラグインは、通常の投稿とは異なる表示機能や外部プラグインとの連携を備えています。
今回のようなセキュリティ強化を含む更新では、最新版への更新だけでなく、イベント表示や連携機能が正常に動作するか確認することも大切です。