CVE-2026-101889 Prime Mover パストラバーサル脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
WordPress向けプラグイン「Prime Mover」のバージョン2.2.1以前に、認証済み管理者が任意のディレクトリを削除可能なパストラバーサル脆弱性が存在することが判明しました。攻撃者は、wprime-config.json内のtar_root_folder値を操作したWPRIME/TARパッケージをインポートすることで、wp-adminなどの重要ディレクトリを削除し、サイトの運用不能を引き起こす可能性があります。この脆弱性はWordPressサイトの運用に直接影響するため、該当プラグインを導入している場合は、バージョンの確認と最新版へのアップグレードが強く推奨されます。確認時は、不正なパス指定が許容されていないか、インポート処理時の異常なディレクトリ変更がないかを監視する必要があります。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は「権限を持つ者」が「意図しない場所」を破壊するという矛盾を示しているのではないのか。管理者が「信頼できる」はずのシステムを、なぜ「不正なパス」に引きずられるのか。その本質に問う。
その問いに応えるなら、まず「Prime Mover」が導入されているか確認すべきだろう。wp-content/plugins/に存在するか、wp-config.phpに「define('PRIME_MOVER_LICENSE_KEY'」といった記述がないかをチェックする。次に、wprime-config.jsonのtar_root_folder値が「../」や「../../」といった不正な文字列を含んでいないかを定期監視する必要がある。
だが、この脆弱性は「管理者」自身が悪意を持つわけではない。システムが「許容すべき範囲」を誤って定義しているのだ。その「範囲」を再定義する責任は、運用者にあるのではないのか。
その通りだが、現実には「最新版を適用していない」ことが多くの問題の原因だ。プラグインのバージョンをwp-admin/plugins.phpで確認し、2.2.1未満なら公式サイト（https://wordpress.org/plugins/prime-mover/）から最新版をインストールすべきだ。また、変更管理として、パッチ適用前にwp-content/prime-mover-backup/に現行ファイルをバックアップし、git diffで変更点を一覧化する習慣をつけるとよい。
では、この脆弱性の「影響範囲」は、どのように把握すべきだろうか。
wp-adminやwp-includesが削除されればサイト運用不能になるが、具体的な影響は「wp-content/」以下のディレクトリ構成に依存する。そのため、wp-content/を監視し、異常なファイル削除を検出するログを保存する（例：rsyslogで「/var/log/prime-mover.log」に「rm -rf」コマンドの出力を記録）。また、ベンダー情報として、Prime Moverの開発元（https://www.premiumpixel.com/）に問い合わせて、この脆弱性の詳細な影響範囲を確認するのも賢明だ。
だが、運用者は「完璧」を追求する必要はない。ただ「確認」のプロセスを確立するだけなのではないか。
その通り。例えば、毎月一度「wp-cli plugin list」でプラグインバージョンを一覧化し、CVSS 6.5以上の大規模な脆弱性（NVDのCVE-2026-101889を含む）に対応したパッチが適用済みかを確認する。それが「最小限の倫理」だ。
（※注：CVSS 6.5は中程度の深刻度だが、wp-adminの削除はサイト停止に直結するため、Linux運用では即時対応が推奨される）
関連キーワード: wordpress