WordPressでGoogle Fontsをローカル配信するためのプラグイン「OMGF」に、保存型XSS（Stored Cross-Site Scripting）の脆弱性が公表されました。影響するのはOMGF 6.3.10以下です。
CVE番号はCVE-2026-89417、WordfenceによるCVSSスコアは7.2（High）。ログインしていない第三者から悪意あるスクリプトを保存される可能性があります。利用している場合は、できるだけ早めに最新版へ更新しておきましょう。
OMGFとは
OMGFは、Google FontsなどのWebフォントを外部サーバーから直接読み込むのではなく、自分のWordPressサイト側へダウンロードして配信するためのプラグインです。Google Fontsへの外部通信を減らせるため、表示速度やプライバシー対策などを目的に利用されています。
WordPress公式ディレクトリでは30万以上のサイトで利用されており、Google Fontsのほか、Bunny FontsやJetpack CDNのフォントも検出してローカル化できます。Elementor、Divi、Beaver Builder、Bricksなど、多くのページビルダーやキャッシュ系プラグインとの連携も案内されています。
こういう「普段は表に出てこないけれど、裏側でサイトを快適にしてくれる」タイプのプラグインですね。
6.3.10以下に保存型XSS
今回の問題は、検索パラメータなどに含まれた悪意あるデータが一時ファイルへ残り、特定のサーバー環境ではブラウザ上でスクリプトとして実行される可能性があるものです。
成立には、生成された一時ファイルが適切なContent-TypeやX-Content-Type-Optionsヘッダーなしで配信されることなど、一定の条件があります。ただし、一般的なApacheやnginx＋PHP-FPM環境でもその条件に該当する可能性があるとされています。
「OMGFを入れているだけですぐ攻撃される」という話ではありませんが、未認証の第三者から利用できる脆弱性なので、古いバージョンをそのまま使い続けるのはおすすめできません。
6.3.11で修正、現在は6.3.12
OMGF公式の変更履歴では、6.3.11でGoogle Fontsのスタイルシート検出やダウンロードファイルの処理についてセキュリティ強化が行われています。さらに6.3.12でも、Google Fontsのスタイルシート要求やダウンロードしたフォントファイルの扱いが追加で強化されています。2026年10月現在、WordPress公式ディレクトリの最新版は6.3.12。
6.3.10以下を利用している場合は、バックアップ → 6.3.12へ更新 → フォント表示を確認という流れで対応しておくのが分かりやすいと思います。
更新後はフォント表示を確認
OMGFはWebサイトの文字表示に直接関わるプラグインなので、更新後はトップページや主要ページを開き、フォントが正常に表示されているか確認しておきましょう。Elementorなどのページビルダー、キャッシュ系プラグイン、CDNなどと組み合わせている場合は、それらを利用しているページも確認しておくと安心です。
必要に応じてOMGFのキャッシュを再生成したり、サイト側のキャッシュを削除したりすることもあります。
30万以上のサイトで使われている便利なプラグイン
OMGFは、Google Fontsをローカル配信する仕組みを比較的簡単に導入できる便利なプラグインです。
30万以上のサイトで利用されているプラグインだからこそ、セキュリティ情報が出たときには一度バージョンを確認しておきたいところです。
OMGF 6.3.10以下を利用している場合は、バックアップを取ったうえで最新版へ更新し、フォント表示やページ表示
が正常か確認しておきましょう。