WordPressのログイン・会員登録画面をカスタマイズする「Theme My Login」に、パスワードを不正に変更される脆弱性が報告されました。
Theme My Loginとは？
WordPress標準のログイン画面を、サイトのデザインに合わせたページへ置き換えるプラグインです。会員登録、ログイン、パスワード再設定などをサイト内で提供できます。
会員サイトやコミュニティサイトなどで、利用者が違和感なくログインできることがメリットです。
今回の脆弱性
CVE-2026-89079は、パスワード変更処理における本人確認の不備です。
特定のWordPressマルチサイト構成では、未ログインの第三者が他人のパスワードを書き換え、管理者アカウントを乗っ取る可能性があります。
すべての通常の単一サイト構成で攻撃できるという意味ではありません。
Wordfenceでは、確認時点の過去24時間に854件の攻撃をブロックしたと表示されていました。これは攻撃試行の記録であり、侵害成功件数ではありません。
Wordfence
影響範囲・確認と対策
7.2.1以前が対象で、7.2.2で修正済み。10月18日時点のWordPress.org掲載最新版は7.3.1です。
マルチサイトで利用している場合は優先して更新し、パスワード再設定、ログイン、会員登録、ネットワークサイト登録などを確認してください。
不審なパスワード変更や管理者ログインの履歴にも注意が必要です。
利用規模： 有効インストール数50,000以上（2026年10月18日確認）。
公式情報：WordPress.org ／ Wordfence・CVE-2026-89079
メタディスクリプション：