確かに、その逆説は鋭いです。しかし、現実の管理者として、まず確認すべきは「プラグインのバージョン」です。1.2未満の場合は、即座に更新が必須です。次に、ユーザー権限の変更履歴をログで追跡し、不正なロール変更が行われていないかを確認する必要があります。

それはLinux運用者が日々使う「変更管理ツール」です。例えば、rsyncやGitによるファイル変更履歴の監視、あるいはWordPressのログ機能。また、サブドメインごとに異なったロール設定がされているかを、手動で確認する作業も避けられないでしょう。

その場合は「影響調査」が肝心です。サブサイトごとに管理者アカウントが作成されていないかを、wp_usersテーブルを直接SQLで検索する必要があります。また、パッチ適用後に「監視」を強化し、再度の不正アクセスを防ぐためのログ出力設定を変更する必要があります。

プラグイン開発者である「Add User Autocomplete」の公式フォーラムやGitHubリポジトリを確認し、1.2以降のバージョンが提供されているかを確認してください。また、WordPressの公式サポートに問い合わせて、マルチサイト環境での対応策を尋ねることも重要です。

CVSSスコア8.8は確かに高いですが、現実的には「攻撃者が外部からアクセスできるか」に依存します。ただし、内部ネットワーク内で既に認証済みユーザーが存在する環境では、リスクは急激に高まります。だからこそ、パッチ適用は「即時」が原則です。

哲学的な問いは深くても、現実の管理者は「バージョン確認→変更履歴の検証→パッチ適用→監視設定の見直し」の四段階を踏まえ、ベンダー情報をもとに行動するべきです。そして、このプロセスのどこにも「ユーモア」は不要ですが、焦らずに実行する覚悟が肝心です。