CVE-2026-92115／CVSS 8.8／2026年10月15日公表・16日更新
WordPressの写真アルバム管理プラグイン「WP Photo Album Plus」に、サーバー上で不正なコマンドを実行される可能性のある脆弱性が報告されました。
WP Photo Album Plusとは？
WP Photo Album Plusは、写真や動画をアルバム形式で管理・公開できるプラグインです。
複数階層のアルバム、スライドショー、画像検索、コメント、評価、フロントエンドからの画像投稿などに対応しています。
例えば、写真作品の展示サイト、地域イベントの写真集、会員が画像を投稿するギャラリーなどで活用できます。画像の整理から公開・投稿受付までを一元管理できる点がメリットです。
今回の脆弱性について
画像編集処理でImageMagickへ渡す値の検証が不十分だったため、画像操作に使うパラメーターを悪用してOSコマンドを実行できる可能性があります。
攻撃成立には、プラグイン独自のwppa_upload権限と、サーバー側でImageMagickが利用できる環境が必要です。
悪用されると、Webサーバーの実行権限の範囲で不正な操作が行われるおそれがあります。
Wordfence
影響バージョンと対策
9.3.02.002以前が対象で、9.3.02.003で修正されています。
2026年10月16日時点のWordPress.org掲載最新版は9.3.03.003です。別の脆弱性も修正されているため、原則として最新版への更新をおすすめします。
更新後は画像のアップロード、切り抜き、アルバム表示、スライドショーなどを確認してください。また、画像アップロード権限を誰に付与しているかも見直しましょう。
利用規模： 有効インストール数10,000以上（2026年10月16日確認）。