CVE-2026-89079／CVSS 9.8
Theme My Loginは、WordPress標準のログイン画面を、サイトのデザインに合わせたログイン・会員登録・パスワード再設定ページに置き換えるプラグインです。
今回の問題は、パスワード更新時の本人確認が不十分だったことです。
特定の設定を持つWordPressマルチサイト環境では、未ログインの第三者が他のユーザーのパスワードを変更できる可能性があります。
Wordfenceの確認時点のデータでは、直近24時間に19件の攻撃が遮断されたと表示されています。侵害成功件数ではありません。Wordfence
修正版は7.2.2、現在の最新版は7.3.1です。
公式情報： Wordfence脆弱性情報 ／ WordPress.org公式ページ
TM WebWorksブログ記事案
【2026年10月】Theme My LoginにCVSS 9.8の脆弱性｜マルチサイト環境でアカウント乗っ取りの危険
WordPressのログイン画面をカスタマイズできる「Theme My Login」に、重大な権限昇格の脆弱性が報告されました。
今回の問題は、ユーザーのパスワード変更処理における本人確認の不備です。
特定のマルチサイト構成では、ログインしていない第三者が他のユーザーのパスワードを変更し、アカウントを乗っ取る可能性があります。
ただし、通常の単一WordPressサイトを含むすべての環境で攻撃が成立するわけではありません。
影響するのは7.2.1以前で、7.2.2で修正されています。
利用中の場合は最新版へ更新し、特にマルチサイトではユーザーの権限、管理者アカウント、パスワード変更履歴などを確認してください。
メタディスクリプション： 2026年10月、Theme My LoginにCVSS 9.8の脆弱性が判明。マルチサイト環境でのパスワード変更によるアカウント乗っ取りと対策を解説します。
