WordPressの名簿・会員情報管理プラグイン「Participants Database」に、重大なセキュリティ上の問題が報告されました。
2026年10月21日にセキュリティ企業Patchstackが公開したCVE-2026-112862は、CVSS 9.8と評価されています。
未ログインの第三者が悪用できる可能性があり、修正版はまだ公開されていません。
| 項目 | 内容 |
|---|---|
| 対象 | Participants Database |
| CVE | CVE-2026-112862 |
| 深刻度 | CVSS 9.8／緊急 |
| 脆弱性 | PHPオブジェクトインジェクション |
| 影響バージョン | 2.7.8.5以前 |
| 修正版 | 未公開 |
| 攻撃に必要な権限 | 不要（未認証） |
| 実際の攻撃 | 未確認 |
| 有効インストール数 | 配布停止前は7,000以上 |
Participants Databaseとは？
Participants Databaseは、WordPress上で名簿や会員情報などのデータベースを作成・管理できるプラグインです。
名前、住所、電話番号などの項目を自由に設定でき、登録フォーム、検索可能な一覧表示、CSVによるデータの取り込み・書き出しなどに対応しています。
会員名簿、ボランティア登録、イベント参加者管理、団体の支援者情報管理などに利用できます。
WordPress.orgでは配布停止前に7,000以上の有効インストール数が表示されていましたが、2026年10月24日現在は正確な数値を確認できません。
今回の脆弱性について
今回報告されたのは、PHPオブジェクトインジェクションと呼ばれる脆弱性です。
外部から受け取ったデータの処理に問題があり、攻撃者が本来想定されていない処理を実行させる可能性があります。
脆弱性の評価はCVSS 9.8で、攻撃にWordPressへのログインは必要ないとされています。
ただし、具体的な攻撃方法や任意コード実行の成立条件は、公開情報だけでは明らかになっていません。
2026年10月24日時点で、実際に攻撃が成功した事例も確認できていません。
影響範囲と修正状況
影響するのはParticipants Database 2.7.8.5以前です。
WordPress.orgでは2026年10月19日からプラグインの配布が停止されています。
また、Patchstackによると、今回の脆弱性に対する公式修正版はまだ公開されていません。
なお、配布停止の理由が今回の脆弱性だけによるものかどうかは確認できていません。
利用中のサイトで確認したいこと
まず、WordPressの「プラグイン」画面からParticipants Databaseがインストールされているか確認してください。
使用している場合は、登録データやファイルをバックアップし、業務への影響を確認したうえで一時停止を検討してください。
プラグインの停止によって、会員登録フォームや名簿一覧などが表示されなくなる可能性があります。
継続利用が必要な場合は、Patchstackの暫定防御機能などを検討し、修正版の公開状況を確認することが重要です。
まとめ
Participants Databaseには、未認証で悪用できる重大な脆弱性が報告されています。
現時点では公式修正版が公開されていないため、利用中のサイトでは一時停止や暫定防御を検討する必要があります。
特に個人情報を管理している場合は、データ保護の観点からも早めの確認をおすすめします。