【CVSS 9.8】Avada テーマ CVE-2026-18431 zero-click RCE 緊急対応｜制作会社の3ステップ即対応と侵害チェック【2026年8月末】

公開日
2026.08.31

WordPress の人気テーマ「Avada」と付属プラグイン「Fusion Builder」に、CVSS 9.8 の緊急脆弱性 CVE-2026-18431 が発見された。ゼロクリック・未認証でリモートコード実行（RCE）を許す深刻な内容で、8月25日に ThemeFusion がパッチをリリース。8月29日には Wordfence 無料ユーザーへの保護が拡大され、悪用が本格化するタイミングに入った。Avada は世界で数十万サイト以上に導入されているため、cielo クライアント案件でも要即確認。

CVE-2026-18431 とは？

Avada テーマ（≤ 7.16）と Fusion Builder プラグイン（≤ 3.16）に存在する任意ファイル書き込み脆弱性。未認証攻撃者が6つの脆弱性を連鎖させることで、ゼロクリックで任意 PHP ファイルを書き込み・実行し、サイト完全乗っ取りが可能になる。CVSS 9.8（緊急）。

脆弱性概要早見表

攻撃の詳細

この脆弱性の深刻さは以下3点。

1. ゼロクリック：ユーザーが何もしなくても、攻撃者が単独で乗っ取り可能
2. 未認証：ログイン情報なし・管理者権限なしでも攻撃成立
3. 6つの脆弱性の連鎖：Avada と Fusion Builder の複数弱点を組み合わせて RCE に到達

攻撃者は任意 PHP ファイルをサーバーに書き込み → HTTP リクエストで実行することで、サイトファイル・DB・管理者権限すべてを掌握できる。

制作会社レンズ｜Avada 案件で今すぐやる3ステップ

ステップ1: Avada 利用有無の一括確認

管理下の全 WP クライアント案件で Avada 利用有無を確認。wp-cli があれば以下1コマンドで一括確認可能:

wp theme list --status=active | grep -i avada
wp plugin list --status=active | grep -i "fusion-builder\|fusion-core"

ステップ2: 即バージョンアップ

Avada 7.16 以下 or Fusion Builder 3.16 以下なら即最新版へ。ステージング環境での検証を推奨するが、CVSS 9.8 の緊急脆弱性のため、本番即更新もやむなし。

ステップ3: 侵害チェック

脆弱期間中に既に侵害されていないか確認：

• wp-content/uploads や themes/avada 配下の不明な .php ファイル
• 最近7日間に変更された PHP ファイル（find . -name "*.php" -mtime -7）
• 不明な管理者ユーザー追加
• アクセスログの不審な POST リクエスト

Avada 脆弱性の位置付け

2026年7-8月の WordPress 業界は wp2shell（Core CVE-2026-63030）→ Avada CVE-2026-18431 と、CVSS 9.8級の緊急脆弱性が立て続けに発生している異例事態。攻撃者側の関心も WordPress エコシステム全体に向いており、パッチ運用の重要性が過去最高レベルで高まっている。

制作現場での対応パターン

パターン1: 全 Avada 案件の緊急一斉更新

今日中に全案件で Avada / Fusion Builder のバージョン確認 → 影響あれば即更新 → クライアント通知。「今日中対応」がベンチマーク。

パターン2: 侵害後対応の想定

脆弱期間中（8月25日以前）に侵害されていた場合の復旧手順を事前に用意。バックアップからのフル復元 → 更新 → セキュリティ強化の3ステップ。

パターン3: 「Avada 保守プレミアム」提案

Avada 使用中の案件に「Avada 専用月次セキュリティ保守」を提案。月額5-10万円で、Avada + Fusion Builder + 関連プラグインの月次パッチ運用を保証。

FAQ

Q. Avada 使ってないなら安全？

直接影響なし。ただし、他テーマ・プラグインでも類似脆弱性が発生する可能性があるため、月次パッチ運用を全案件で徹底することが根本対策。

Q. 7.16.1 に更新すれば安全？

本脆弱性への対応としては十分。ただし、脆弱期間中に既に侵害されていた場合、バックドアが残っている可能性があるので侵害チェック必須。

Q. Fusion Builder だけ使っていて Avada は使ってない場合は？

Fusion Builder 3.16 以下も影響対象。3.16.1 以降への更新が必要。

Q. Avada 以外のテーマへの移行を検討すべき？

Avada 自体は継続利用可能。パッチが素早く出ている点は評価できる。「月次更新運用がしっかりしている限りは継続 OK」という判断が現実的。

参考メディア・出典一覧

• BleepingComputer｜Critical Avada WordPress theme flaw enables zero-click RCE
• SOCRadar｜Critical Avada WordPress Flaw (CVE-2026-18431) Enables RCE
• IONIX｜CVE-2026-18431 – Unauthenticated Remote Code Execution via Arbitrary File Write
• WPScan｜Avada <= 7.16 and Fusion Builder <= 3.16 – Unauthenticated RCE
• MagicWP｜Avada 7.16.1 Fixes Fusion Patcher RCE: What to Do Now

まとめ

Avada CVE-2026-18431 は2026年8月末最大の WordPress テーマ緊急脆弱性。cielo が扱う Avada 案件は今日中の一斉更新が必須。①利用有無確認 ②即バージョンアップ ③侵害チェックの3ステップで、悪用本格化タイミング（Wordfence 無料ユーザー保護開始）に間に合わせたい。wp2shell に続く緊急案件で、月次パッチ運用サービスの重要性がさらに高まる時代。

この記事を書いた人

WEBディレクター

佐藤 広樹 Sato

仕事を通じて出会った方から「人から学ぶ」ことを大切に、AIやWEBから得られない知見を吸収するよう意識しています。

スタッフ紹介はこちら →