CVE-2026-107645 ブロックシーコンパニオンプラグイン特権昇格脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
WordPressのブロックシーコンパニオンプラグイン（バージョン2.1.58以下）に、特権昇格の脆弱性が確認されています。この脆弱性により、認証されていない攻撃者が管理者設定を無視して「ドカン・セラー」アカウントを作成し、通常の顧客にはないコンテンツ公開権限を取得できる可能性があります。WordPressを運用しているLinuxサーバーでは、このプラグインが有効な場合に影響が及びます。確認時は、プラグインのバージョンとドカンのベンダー登録設定を確認し、更新が適用されているかを確認してください。CVSSスコア9.1のため、早期の対応が求められます。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問う。認証されていない者が管理者設定を無視してアカウントを作成できるという現象は、権限の「信頼」がどこに誤りを生じたかを示しているだろう。このプラグインが「ドカン」の設定とどう結びついているか、その構造を問いたい。
ご質問に答えます。この脆弱性は、ブロックシーコンパニオンプラグインが「ドカン」の登録用非同期処理（AJAXハンドラ）で、本来必要なセキュリティトークン（nonce）のチェックを無効にしているためです。結果として、攻撃者が任意の役割（role）を指定してユーザーを作成できるのです。
なるほど。では、Linux運用者が今すぐ確認すべき点は？
まず、このプラグインが有効であるかを確認し、バージョンが2.1.58以下であるかをチェックしてください。次に、ドカンのベンダー登録設定が「無効」に設定されているにもかかわらず、このプラグインがその設定を無視している可能性を考慮する必要があります。
その確認後は？
パッチ適用が最優先です。公式リポジトリやWordPressの更新通知を確認し、プラグインを最新版にアップグレードしてください。変更管理の記録を残す際には、この脆弱性の対応を明記し、監視ツールで「ドカン」関連の異常なアカウント作成を検知する設定も検討すべきです。
では、この脆弱性が「ドカン」の名前を連想させることについてどう思う？
（笑）「ドカン」という名前は、その「ドカン・セラー」アカウントが持つ権限の破壊力に似ているかもしれません。しかし、運用者はその名前を忘れて、実際の設定とバージョンを常に確認する必要があります。
最後に、運用者に向けた忠告を。
CVSSスコア9.1という深刻度を踏まえ、ベンダーの公式情報やNVDの記録を再確認し、パッチ適用を迅速に実施してください。この脆弱性は「信頼」の誤用が原因ですが、運用者は「確認」の儀礼を怠ってはなりません。
関連キーワード: wordpress