【2026年8月版】WordPress プラグイン脆弱性まとめ｜Yoast/Elementor/Forminator/WooCommerce系の重大CVEと制作会社の対応チェックリスト

2026.08.28 ツール・技術

【2026年8月版】WordPress プラグイン脆弱性まとめ｜Yoast/Elementor/Forminator/WooCommerce系の重大CVEと制作会社の対応チェックリスト

公開日
2026.08.28

2026年8月、WordPress プラグイン群で複数の深刻な脆弱性が相次いで公開された。Yoast SEO（1,000万インストール超・CVSS 6.4 XSS）、Essential Addons for Elementor（アカウント乗っ取り）、Forminator Forms（CVSS 8.8 権限昇格）、PDF Invoices & Packing Slips for WooCommerce（PHP オブジェクトインジェクション）など、cielo が扱うクライアント案件で頻用されるプラグインが軒並み対象。制作会社視点で「今すぐ確認すべきプラグインリスト」と対応手順を整理する。

2026年8月の主要 WP プラグイン脆弱性一覧

2026年8月に公開された WordPress プラグイン脆弱性は数十件に上るが、cielo クライアント案件で使用頻度が高いプラグインの深刻な脆弱性を優先度順にまとめる。バージョン確認・アップデートが即時対応必須。

主要脆弱性早見表（優先度順）

プラグイン	CVE / 影響	CVSS	影響バージョン	修正版
Yoast SEO	CVE-2026-3427 XSS	6.4	27.1.1 以前	27.2
Essential Addons for Elementor	CVE-2026-15155 アカウント乗っ取り	—	6.6.10 以前	6.6.11
Forminator Forms	権限昇格	8.8	要確認	最新版
Kirki	PHP オブジェクトインジェクション	8.1	要確認	最新版
Ultimate Member	権限昇格	7.3	要確認	最新版
PDF Invoices & Packing Slips for WooCommerce	CVE-2026-39472 PHP オブジェクトインジェクション	—	5.8.9 以前	5.9.0
Yoast SEO（別件）	CVE-2025-14481 IDOR	—	26.5 以前	26.6

各脆弱性の詳細

1. Yoast SEO（CVE-2026-3427） – 影響大

Yoast SEO 27.1.1 以前でStored XSS 脆弱性。jsonText ブロック属性の入力サニタイズ不足で、投稿者権限を持つ悪意ユーザーが任意 JavaScript を管理画面で実行可能。1,000万インストール超のプラグインなので影響範囲が広大。

2. Essential Addons for Elementor（CVE-2026-15155）

6.6.10以前でEmail Header Injection によるアカウント乗っ取り。管理者アカウントも含めた完全乗っ取りが可能。Elementor 系サイトは即確認要。

3. Forminator Forms（CVSS 8.8）

権限昇格の脆弱性。一般ユーザーが管理者相当の権限を取得可能。フォーム設置プラグインの中でも利用率が高い。

4. Kirki（CVSS 8.1）

PHP オブジェクトインジェクションで、任意コード実行につながる可能性。テーマカスタマイズフレームワークとして使われている場合が多い。

5. PDF Invoices & Packing Slips for WooCommerce

5.8.9 以前で PHP オブジェクトインジェクション。WooCommerce EC サイトで採用率が高いプラグイン。

制作会社レンズ｜クライアント案件で今すぐやるべき3ステップ

ステップ1: 全クライアント WP サイトのプラグイン棚卸し

管理下の全 WP サイトで、上記6プラグインの利用状況を一括確認。wp-cli があれば以下1コマンドで確認可能:

wp plugin list --format=csv | grep -E "wordpress-seo|essential-addons|forminator|kirki|ultimate-member|woocommerce-pdf-invoices"

ステップ2: 該当プラグインの最新版更新

影響バージョンを使っている場合、即最新版に更新。ステージング環境での事前検証を推奨するが、CVSS 8.0以上の脆弱性は本番即更新もやむなし。

ステップ3: 侵害チェック

特に脆弱期間中にサイトが侵害されていないか確認：

管理者ユーザーに知らない ID が追加されていないか
不明な .php ファイルが混入していないか
fun ction.php / theme files に改ざんが無いか
ログイン履歴に不審な IP / タイミングが無いか

継続的な脆弱性監視の運用

推奨監視ツール

Wordfence: 無料版でも脆弱性通知・WAF・マルウェアスキャン
Patchstack: プラグイン脆弱性データベース最強・企業向け
WPScan: CLI ベースの脆弱性スキャナ
KUSANAGI週次まとめ: 日本語で網羅的な脆弱性情報

クライアント案件での月次運用

月初に：

全クライアントサイトのWordfence / Patchstack スキャン
脆弱性検知プラグインの一括更新（ステージング→本番）
侵害チェック・レポート作成
クライアントに「今月の脆弱性対応レポート」を送付

制作現場での対応パターン

パターン1: 月額保守契約への組み込み

「月次セキュリティ監査 + 即応パッチ」を月額保守契約に組み込む。1サイトあたり月2-5万円の追加提案として成立。

パターン2: 緊急対応スポット契約

重大脆弱性発表時の緊急対応スポット契約（1回3-10万円）。CVSS 9.0以上の脆弱性発表時に営業機会。

パターン3: プラグイン診断コンサル

クライアントが独自導入した WordPress サイトに対するプラグイン健全性診断。初回10-30万円の診断案件として。

FAQ

Q. Yoast SEO 使ってないけど大丈夫？

Yoast SEO は 1,000万インストール超で、既存クライアント案件で使われている可能性大。「使ってないと思っていた」ケースが多いので必ず棚卸し。

Q. プラグイン更新で機能が壊れないか心配

ステージング環境での検証が理想だが、CVSS 8.0 以上の脆弱性は本番即更新を優先。修正版はマイナーバージョン更新でほぼ機能維持される設計。

Q. 自動更新設定してれば安心？

WordPress 5.5以降のプラグイン自動更新機能で対応可能だが、「壊れるリスクを取れない案件」では自動更新オフが多い。cielo クライアント案件は月次手動更新が現実解。

Q. WooCommerce 案件は特に危険？

EC は決済情報・顧客情報を扱うため特に脆弱性影響が大きい。PDF Invoices & Packing Slips for WooCommerce の脆弱性は要即対応。

参考メディア・出典一覧

まとめ

2026年8月の WP プラグイン脆弱性は Yoast SEO / Elementor / Forminator / WooCommerce 系など、cielo 案件で頻用されるプラグインが軒並み対象。制作会社としては、①全案件のプラグイン棚卸し ②該当プラグイン即更新 ③侵害チェックの3ステップと、月次セキュリティ運用の契約化で、脆弱性を機会に変える体制を組みたい。「壊れないから」で放置していた古いプラグインが最大のリスク要因になる時代へ。

この記事を書いた人

WEBディレクター

佐藤広樹 Sato

仕事を通じて出会った方から「人から学ぶ」ことを大切に、AIやWEBから得られない知見を吸収するよう意識しています。

スタッフ紹介はこちら →

シエロデザインのサービス

01 CIELO GROW Web戦略チーム支援 Web戦略室を社内に構築・定着させるチームビルディング支援 02 CIELO MARKETING Web集客施策 Web広告の戦略、運用代行やSNS運用 03 CIELO SUPPORT Webサイト更新保守更新対応・サイト管理・レポート作成 04 CIELO CREATIVE デザイン制作 Webサイト・グラフィックデザイン・動画制作

サービス一覧を見る →

お問い合わせ

Webサイト制作・保守・広告運用・Web戦略チーム支援など、私たちシエロデザインが伴走できる領域はさまざまです。
「うちの場合どうすれば？」というご相談も、まずはお気軽にお声がけください。

お問い合わせフォームへ →