それは、プラグインの開発者と運用者の双方に責任があるでしょう。しかし、現実の運用者はまず「このプラグインがインストールされているか」を確認すべきです。WordPressの管理画面でアクティベートされているか、`wp-content/plugins`ディレクトリに`rox-appointment-booking`が存在するかをチェックしてみるべきでしょう。

管理者が「不正なレコード」を編集し、保存する必要があります。つまり、攻撃者はユーザーIDを知る必要があるが、デフォルトのID（例：1）が使われている可能性もあるため、運用者はデータベースに「wp_user_id」が不正に設定されていないかを確認すべきです。`wp_users`テーブルや`wp_rox_…`のカスタマーテーブルをクエリで検索してみるべきでしょう。

管理者のメールアドレス変更履歴を監視する必要があります。ログインアカウントの変更を記録するためのツール（例：Wordfence、WP Activity Log）を導入し、異常な変更が記録されているかを定期的に確認するべきです。また、攻撃者が「REST APIの`/rox-appointment-booking/v1/public/booking`エンドポイント」にアクセスしているかどうかを、サーバーのアクセスログから検出する手段も検討すべきです。

プラグインのバージョンが1.3.1以下の場合は、公式リポジトリで最新版を確認し、変更管理プロセスに従って更新すべきです。ただし、テスト環境で確認後、本番環境に適用する必要があります。また、脆弱性の詳細を確認するため、NVDのリンク（https://nvd.nist.gov/vuln/detail/CVE-2026-104012）を参照し、ベンダーの公式ドキュメントで対応方法を再確認することも重要です。

「変更管理」が鍵です。パッチ適用後、再度メールアドレス変更の監視を開始し、既存のレコードが正常かを再確認してください。そして、もし明日、誰かが「管理者アカウントを乗っ取られた」と言うなら、あなたの行動は「後悔」ではなく「準備不足」だったと、笑って言えるでしょう。