WordPressのログインや会員登録にワンタイムパスワード認証を追加する「miniOrange OTP Login, Verification and SMS Notifications」に、認証を回避される可能性のある脆弱性が報告されました。
miniOrange OTPとは？
SMSやメールなどで送信するワンタイムパスワードを使い、ログイン、会員登録、フォーム送信時の本人確認を行うプラグインです。
WooCommerce、Contact Form 7、WPFormsなどとも連携でき、不正登録の抑制や電話番号確認などに利用できます。
今回の脆弱性
CVE-2026-103895は、認証済み状態を一時的に保持する仕組みに問題があったものです。
「OTPのみでログイン」と「Delay OTP Verification」の特定設定を組み合わせ、対象アカウントが認証省略可能な時間内にある場合、第三者が正しいパスワードを知らずにログインできる可能性があります。
条件が成立すると、管理者アカウントにも影響するおそれがあります。
Wordfence
影響範囲・確認と対策
5.5.8以前が対象で、WordfenceとPatchstackは5.6.0を修正版として案内しています。
利用中の場合は更新し、OTPのみのログイン設定、認証省略設定、ログイン・パスワード再設定・会員登録の動作を確認してください。
更新できない場合は、影響する認証省略機能の停止を検討してください。認証設定を変更する際は、管理者自身がログインできなくならないよう注意が必要です。
利用規模： 有効インストール数5,000以上（2026年10月18日確認）。