【2026年10月】User Rights Access Managerに重大な脆弱性｜修正版未確認

WordPressプラグイン「User Rights Access Manager」に、未ログインの第三者が管理者相当の権限を持つアカウントを作成できる問題が公表されました。

今回のCVE-2026-109145は、アカウント登録用のAJAX処理にアクセス制限が不足しており、管理者権限を複製したロールが新規ユーザーへ割り当てられる可能性があるものです。

影響するのは1.1.3以前で、CVSSは9.8です。2026年10月16日時点で公式修正版は確認できていません。

利用中の場合は、サイトの機能への影響を確認したうえでプラグインの停止・隔離を検討してください。ユーザー一覧やロール設定を点検し、不審な管理者相当のアカウントがないか調べることも重要です。

なお、プラグインの現行の公式配布ページ、開発元の最新案内、有効インストール数は確認できていません。機能の詳細や利用規模については断定を避けます。