WordPress上のさまざまな作業を自動化できるプラグイン「Uncanny Automator」に、サーバー上のファイルを削除される可能性がある脆弱性が公表されました。影響するのはUncanny Automator 7.6.1.1以下です。
CVE番号はCVE-2026-82627、CVSSスコアは7.5（High）。
購読者以上のアカウントを持つ攻撃者が、条件のそろったサイトでPHP Object Injectionを利用し、サーバー上の任意ファイルを削除できる可能性があります。
Uncanny Automatorとは
Uncanny Automatorは、WordPressのプラグインや外部サービスを組み合わせて、さまざまな処理を自動化するためのプラグインです。
「お問い合わせフォームが送信されたらメールを送る」「商品が購入されたら会員権限を付与する」「フォームに入力された内容をGoogle Sheetsへ送る」といった処理を、プログラムを書かずに組み立てることができます。
公式では、WPForms、Gravity Forms、Fluent Forms、Contact Form 7、WooCommerce、LearnDash、Mailchimp、Slackなど多数のサービスとの連携が案内されています。現在はAI機能やAIページビルダーも組み込まれています。
WordPress版の「ZapierやMakeのような自動化ツール」と考えると分かりやすいかもしれません。
条件付きで任意ファイルを削除される可能性
今回の脆弱性は、外部から誰でもすぐに利用できるものではありません。
攻撃には購読者以上のWordPressアカウントが必要です。さらにPeepSo、MailPoet、WPFormsなどの連携プラグインが存在し、攻撃者が入力したデータをトリガーメタとして保存する自動化レシピが設定されているなど、いくつかの条件が必要です。
その条件がそろった場合、信頼できないデータのデシリアライズ処理を利用してPHP Object Injectionを行い、Uncanny Automator内に存在するPOP chainを通じてサーバー上の任意ファイルを削除できる可能性があります。
ファイル削除だからといって軽くはありません
「ファイルが削除されるだけなら、バックアップから戻せばいいのでは？」と思うかもしれません。しかし、削除されるファイルによってはWordPressが正常に動作しなくなる可能性があります。
特にWordPressの設定に関わる重要なファイルなどが失われると、サイトが表示できなくなったり、その後の攻撃につながったりする可能性もあります。
条件付きの脆弱性ではありますが、放置せず更新しておきたい内容です。
7.7.0へ更新を
現在のWordPress公式ディレクトリではUncanny Automator 7.7.0が公開されています。
7.7.0の変更履歴では、トリガー処理においてWordPressやWooCommerceのオブジェクトをデシリアライズせず安全に処理するよう改善したことが記載されています。Uncanny Automatorは、ほかのプラグインやサービスと連携して処理を動かすプラグインです。
更新後は、実際に利用している自動化レシピが正常に動いているか確認しておくことをおすすめします。フォーム送信からのメール通知、ユーザー登録、WooCommerceの注文処理、外部サービスへのデータ送信など、そのサイトで重要なレシピを一度実行してみると安心です。
古いバージョンを使用していた場合は、見覚えのない購読者アカウントやファイルの欠損、アクセスログなども確認しておきましょう。
便利な自動化を安全に使うために
Uncanny Automatorは現在、WordPress公式ディレクトリで4万以上のサイトで利用されています。
WordPressの作業を自動化できるのは非常に便利ですが、さまざまなプラグインやユーザーデータをつなぐ仕組みだからこそ、セキュリティアップデートも重要です。