WordPressのイベント管理プラグイン「My Calendar」に、未ログインの第三者が管理者アカウントを乗っ取る可能性のある脆弱性が報告されました。
My Calendarとは？
イベントの開催日時、会場、カテゴリーなどを管理し、月間カレンダーや一覧で表示できるプラグインです。
地域イベント、セミナー、施設の催しなどの情報公開に利用でき、繰り返しイベントやアクセシビリティにも対応しています。
今回の脆弱性
CVE-2026-104798は、カレンダー表示で使用するパラメーターとショートコードの処理に関係する問題です。
外部から細工した値を送信することで、本来許可されていないPHP関数の呼び出しにつながり、特定の管理者アカウントの認証情報を変更できる可能性があります。
特に注意したいのは、プラグイン有効化時に生成される公開カレンダーページから攻撃可能と報告されている点です。
Wordfence
影響範囲・確認と対策
3.8.7以前が対象で、3.8.8で修正済みです。開発元も公式変更履歴で重大な未認証権限昇格の修正を明記しています。
速やかに更新し、カレンダー表示、イベント詳細、繰り返し予定、カスタムテンプレートを確認してください。
過去に脆弱なバージョンを公開していた場合は、管理者アカウントの状態と不審なログイン履歴も点検しましょう。
利用規模： 有効インストール数20,000以上（2026年10月18日確認）。