WordPressで記事や写真、商品などを格子状に表示できる有料プラグイン「The Grid」に、重大なリモートコード実行（RCE）の脆弱性が報告されました。
The Gridとは？
The Gridは、ブログ記事、制作実績、写真ギャラリー、WooCommerceの商品などを、グリッドやメーソンリー形式で表示できるプラグインです。
豊富なレイアウト、アニメーション、絞り込み機能を備え、ポートフォリオやネットショップのデザインに活用できます。
今回の脆弱性
CVE-2026-94169は、外部から送信された値を悪用して、サーバー上で不正なコードを実行できる問題です。
CVSSは最高値の10.0。公開された評価では、ログインや利用者の操作を必要とせず攻撃できるとされています。成功すると、サイト改ざん、情報流出、マルウェア設置などにつながるおそれがあります。
具体的な攻撃対象機能や必要な設定条件の詳細は、公開情報だけでは確認できていません。
Patchstack
影響範囲・確認と対策
2.8.1以前が対象で、2.8.2で修正済みです。開発元の販売ページにも、9月21日付で未認証RCEの修正が記載されています。
利用サイトでは直ちにバージョンを確認し、正規の配布元から更新してください。更新後はギャラリー、商品一覧、絞り込み機能などを確認しましょう。
古いバージョンを使用していた場合は、不審なPHPファイルや管理者アカウントの調査もおすすめします。
攻撃状況： Patchstackが既知の悪用ありと分類。個別の侵害件数は不明です。
利用規模： 有料製品のためWordPress.org公式の有効インストール数は確認できません。
公式情報：Patchstack ／ 開発元販売ページ・変更履歴