Acadlix LMS CVE-2026-103882——ファイル削除の欠陥と修正版への対応指針

CVE-2026-103882とは——Acadlix LMSに発見されたファイル削除の欠陥

2026年10月31日、WordPressプラグイン「Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin for WordPress」にCVSS 3.1スコア9.1（CRITICAL）の脆弱性が公開された（CVE番号：CVE-2026-103882、採番元CNA：Wordfence）。対象はバージョン1.1.9以下の全バージョンである。

この脆弱性は、post_delete_assessment_file_by_id関数におけるファイルパス検証の不備に起因する。認証済みでsubscriber以上の権限を持つ攻撃者が、サーバー上の任意のファイルを削除できる。CVEの公式記録（cve.org）によれば、wp-config.phpのような重要ファイルが削除された場合、容易にリモートコード実行につながる可能性がある。

CISA KEV（既知の悪用脆弱性カタログ）への掲載は2026年11月3日時点で確認されていない。FIRST EPSSによる悪用確率の統計的推定値は0.00787（パーセンタイル：0.56195、2026年11月3日時点）であり、この値は将来の悪用を確定するものではない。

BookItの対象バージョンと今すぐ取るべき対応は、BookIt 脆弱性 CVE-2026-62048で解説しています。

関連記事Adobe Campaign ClassicにCVE-2026-104354——修正版へ更新を

CVE-2026-103882の技術的な構造——なぜ「未認証」と同等になるのか

CVEの公式説明によれば、問題の核心は2層構造になっている。

第一層は、post_delete_assessment_file_by_id関数が受け取るファイルパスパラメータ（delete_file_data.file_path）に対して適切なパス制限を行っていない点だ（CWE-22: Improper Limitation of a Pathname to a Restricted Directory）。攻撃者が指定したパスがそのままサーバー上のファイル操作に使われる。

第二層が本脆弱性をより深刻にしている要因だ。当該REST APIエンドポイントのパーミッションコールバックはwp_restノンスのみを検証する実装になっているが、このノンスをプラグイン自体がすべてのフロントエンドページのacadlixOptions JavaScriptオブジェクト内に出力している。これにより実質的に認証要件が未認証と同等まで下がっている。

CVSSベクターはAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H（評価者：Wordfence）と記録されており、ネットワーク越しに低い複雑度で、ユーザー操作なしに攻撃が成立することを示している。機密性への影響（C:N）はないが、完全性（I:H）と可用性（A:H）への影響は最高水準と評価されている。

この脆弱性が日本の企業・運用担当者にとって意味すること

WordPressはECサイト、コーポレートサイト、社内ポータルなど日本企業の多様な用途で稼働している。Acadlix LMSのようなeラーニング系プラグインは、社員研修・資格試験・顧客教育などの場面で導入されるケースがある。

本脆弱性で注意すべき点を整理する。

観点	内容
対象バージョン	Acadlix LMS バージョン 1.1.9 以下（全バージョン）
CVSSスコア	9.1（CRITICAL）／評価者：Wordfence
攻撃の前提条件	認証済み（subscriber以上の権限）だが、公開ノンスにより実質的に認証要件が下がっている
直接的な影響	サーバー上の任意ファイルを削除できる
二次的な影響の可能性	wp-config.php等の削除によりリモートコード実行につながりうる（CVE公式記録より）
CISA KEV掲載	なし（2026年11月3日時点）
公式の修正版・回避策	CVE公式記録に記載なし（2026年10月31日時点）

CVSSが9.1と高い一方で、EPSS（悪用確率の統計的推定）は0.00787（2026年11月3日時点）にとどまる。これは現時点で広範な悪用活動が観測されていない状況を示す参考値だが、CISA KEV未掲載であることと合わせても、今後悪用されないことを保証するものではない。

wp-config.phpはWordPressのデータベース接続情報・認証キー・認証ソルトなどを含む中核ファイルだ。このファイルが削除されると、WordPressが再インストールフローへ誘導される状態となり、攻撃者が管理者権限を奪取する糸口になりうる。

今やること——Acadlix LMS CVE-2026-103882への対応指針

対象バージョン（1.1.9以下）を使用している場合は、ベンダー（acadlix）の公式告知の修正版へ更新する。CVE公式記録には2026年10月31日時点で修正版・公式の回避策の記載はない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE Record CVE-2026-103882 — cve.org: https://www.cve.org/CVERecord?id=CVE-2026-103882
• NVD — CVE-2026-103882: https://nvd.nist.gov/vuln/detail/CVE-2026-103882