WordPressの高速化プラグイン「10Web Booster」に、不正なファイルをサーバーへアップロードされる可能性のある脆弱性が報告されました。2026年10月14日に公表されたCVE-2026-108587は、CVSS 9.8と評価されています。
10Web Boosterとは？
10Web Boosterは、WordPressサイトの表示速度を改善するためのプラグインです。ページキャッシュ、CSS・JavaScriptの最適化、画像圧縮、WebP変換、遅延読み込みなどの機能を備えています。例えば、画像が多い企業サイトやブログで、ページの読み込み時間を短縮するために利用できます。
表示速度の改善によって、訪問者の利便性向上が期待できる点がメリットです。
WordPress.orgによると、有効インストール数は60,000以上です（2026年10月15日確認）。
今回の脆弱性について
今回の問題は、画像最適化処理に関係しています。
特定の処理でファイル形式や拡張子の確認が不十分だったため、第三者が危険なファイルをアップロードできる可能性があります。悪用には、画像の一括最適化処理が中断された際に生成される認証用情報を取得するなど、特定の条件が必要です。条件が成立した場合、不正なPHPファイルのアップロードから、サーバー上でのコード実行につながるおそれがあります。
ただし、すべての導入サイトで直ちに攻撃が成立するという意味ではありません。
影響バージョンと対策
影響するのは2.34.10以前です。2.34.11で修正されており、開発元の更新履歴にも画像最適化処理とREST APIのセキュリティ強化が記載されています。利用中の場合は、バックアップを取得して更新してください。
更新後は、ページキャッシュ、画像最適化、WebP変換、CSS・JavaScriptの表示などを確認しましょう。
不審なファイルが作成されていないか確認することもおすすめします。
高速化プラグインは、画像やキャッシュファイルなど、サーバー上のさまざまなファイルを扱います。
表示速度だけでなく、セキュリティ面でも適切な更新が重要です。Wordfence
公式情報： WordPress.org — 10Web Booster
脆弱性情報： Wordfence — CVE-2026-108587