CVE-2026-93368 Rename wp-login.phpプラグインに時間ベースSQLインジェクション
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
WordPressの「Rename wp-login.php to anything you want」プラグインで、バージョン2.0.1までのすべてのバージョンに時間ベースのSQLインジェクションの脆弱性が存在します。利用者からの入力パラメータ「log（ユーザー名）」に十分なエスケープ処理が行われていないため、認証不要でデータベースから機密情報を抽出できる可能性があります。WordPressコアが「log」パラメータのPOST値に対してwp_unslash()を適用し、マジッククォートのバックスラッシュエスケープを解除することで、SQLクエリに改ざんが可能になります。この脆弱性の影響を受ける可能性のある運用環境では、該当プラグインのインストール状況を確認し、最新バージョンへのアップグレードや、ユーザー入力値の適切なサニタイズ処理の実施が重要です。確認時には、ログイン処理に影響を与えるパラメータの処理フローを再評価し、セキュリティ設定の見直しを検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えよう。ユーザー名パラメータがSQLインジェクションの手段となるとは、技術の進歩と同時にその危険性も増すという教訓ではないか？
確かに、ソクラテス。しかし、まずは現場の管理者として、このプラグインがインストールされているかを確認すべきです。wp-login.phpのリネームが目的のプラグインですが、バージョン2.0.1以下の導入状況をチェックする必要があります。
では、その脆弱性が実際に存在するとは何を意味するのか？
攻撃者が認証不要で情報を抽出できる可能性があるため、パッチ適用が最優先です。WordPressの公式リポジトリで最新バージョンへのアップグレードを確認し、導入中のバージョンが脆弱性対象かを明確にしましょう。
しかし、技術的な対策は他にないのか？
ユーザー入力値のサニタイズ処理を再評価する必要があります。wp_unslash()がマジッククォートを解除する仕組みが原因なので、POSTパラメータの処理フローをコードレベルで見直すことで、悪意のあるクエリが注入されないよう防ぎましょう。
監視と変更管理の話は？
脆弱性の影響範囲を特定するため、ログイン処理に関わるパラメータの監視を強化し、変更管理の履歴を確認する必要があります。また、ベンダー（この場合はWordPressプラグイン開発者）が提供するセキュリティ設定の見直しガイドを参考に、セキュリティポリシーに合った対応を検討すべきです。
ユーモアを交えて締めくくろう。この脆弱性は、wp-login.phpのリネームが逆に「wp-login.phpの破壊」を招いたのでは？
はは、その通りです。でも、少なくとも「wp-login.phpを変更する」プラグインを「wp-login.phpを守る」ために使っている点では、技術の二面性を実感するところです。早急にアップグレードを、と。
関連キーワード: php, wordpress