CVE-2026-104798 My Calendar」プラグイン特権昇格脆弱性に注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
WordPressの「My Calendar – Accessible Event Manager」プラグインに、バージョン3.8.7までのすべてのバージョンで特権昇格の脆弱性が確認されています。この脆弱性により、認証されていない攻撃者が、プラグインが自動生成する公開アクセス可能な`/my-calendar/`ページを通じて、任意のPHP関数を実行できる可能性があります。これにより、管理者アカウント（ユーザーID 1）のパスワードを変更し、wp-adminへの完全なアクセス権を取得する攻撃が可能です。Linuxサーバー運用者は、該当プラグインがインストールされている場合、最新バージョンへの更新や、プラグインの不要な公開設定の確認が求められます。確認時は、アクセス可能なURLやパラメータの変更履歴を確認し、不正な操作の痕跡がないか点検することが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質は「権限の不均衡」にあるだろう。未認証者が管理者権限を取得する構造は、ある種の倫理的逆転を生んでいる。あなたはこの現象をどう解釈する？
ああ、ソクラテス。だが、現実の管理者として言わせてもらえば、まずは「このプラグインがインストールされているか」を確認すべきだろう。WordPressの`wp-content/plugins`ディレクトリをチェックし、`my-calendar`の存在を確認する。その上で、`wp-config.php`に`define('WP_DEBUG', true);`が設定されていないか、`/my-calendar/`のURLが公開アクセス可能かを確認する必要がある。
では、この脆弱性の「発見の仕組み」に注目する価値はあるだろうか？
もちろんだ。`mcs`パラメータが`do_shortcode`の前で無処理で反映される点が鍵だ。つまり、`/my-calendar/`にアクセスした際に、`above=`属性に任意の関数呼び出しを注入できる。このため、管理者アカウントのパスワード変更が可能になる。Linux運用者は、`/var/log/httpd/access_log`や`/var/log/secure`に異常なリクエストがないかを監視すべきだ。
では、この脆弱性への対応は「倫理的義務」なのか？
現実的には「技術的義務」だ。プラグインのバージョンが3.8.7以下の場合は、即座に最新版へのアップグレードを実施すべきだ。また、変更管理の文書に「`my-calendar`の設定変更履歴」を記録し、`wp-admin`へのアクセスログを定期的に分析する習慣を身につけるべきだろう。
最後に、この脆弱性の「哲学的教訓」は？
管理者として、私はいつも笑う。このプラグインが「自動生成される`/my-calendar/`ページ」を公開する設定をデフォルトで有効にする設計が、まるで「ドアを開けたままにしておく」ようなものだ。ベンダーの公式ドキュメントで「`mc_generate_calendar_nav()`関数のセキュリティ対策」が記載されていないか、確認することを忘れずに。それが、哲学的教訓である。
関連キーワード: php, wordpress