BookIt 脆弱性 CVE-2026-62048——対象バージョンと今すぐ取るべき対応

公開日：2026年11月9日文：クリスタルメソッド編集部監修：河合継（代表取締役）

BookIt 脆弱性 CVE-2026-62048 の概要——何が起きているか

2026年11月1日、WordPressの予約管理プラグイン「BookIt」にSQLインジェクションの脆弱性が確認され、CVE-2026-62048として正式に記録された。採番機関はPatchstack、開発・提供元はLiquid Web／StellarWPである（出典：cve.org CVE-2026-62048）。

CVSS 3.1スコアは9.3（CRITICAL）。ベクター文字列は CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:Lであり、ネットワーク経由・認証不要・ユーザー操作不要で攻撃が試みられ得るという評価である。

現時点でCISA KEV（Known Exploited Vulnerabilities Catalog）への掲載はない。EPSS（悪用確率の統計的推定値）は2026年11月3日時点で0.00342（パーセンタイル0.278）であり、同時点における統計上の悪用確率は低水準にある。

脆弱性が実際に悪用されると、どんな情報漏洩が起きるかは、AIハッキングによる情報漏洩の主な被害一覧で説明しています。

関連記事AIによる情報漏洩とは？主な原因と経路は？

SQLインジェクションとCVSSスコア9.3が意味すること

CVE-2026-62048の弱点分類はCWE-89「SQLコマンドで使われる特殊文字の不適切な無害化（SQL Injection）」である。SQLインジェクションとは、アプリケーションがユーザーからの入力をデータベースへのクエリにそのまま組み込む際、シングルクォートやセミコロンなどの特殊文字を適切に処理しないために、攻撃者が任意のSQLコマンドを注入できる状態を指す。

今回のCVSSベクターを分解すると以下のとおりである。

CVE-2026-62048 CVSSスコア内訳（評価者：Patchstack）
評価軸	値	意味
攻撃経路（AV）	Network	インターネット経由で攻撃が試みられ得る
攻撃の複雑さ（AC）	Low	特殊な前提条件を必要としない
必要な権限（PR）	None	認証なしで攻撃が試みられ得る
ユーザー操作（UI）	None	被害者側の操作を必要としない
スコープ（S）	Changed	影響がプラグイン外へ波及し得る
機密性への影響（C）	High	情報の取得リスクが高い
完全性への影響（I）	None	完全性への影響なし
可用性への影響（A）	Low	可用性への影響は限定的

スコープが「Changed」である点は、脆弱性の影響がBookItプラグイン単体にとどまらない可能性を示している。

CVSS 9.3という数値は、攻撃の障壁が低く、かつ影響範囲が広いことを示す。現時点でCISA KEVには掲載されていない。

次に読む：AIセキュリティ対策とは？企業が今すぐできることは？

AIセキュリティ対策とは？企業が知るべきリスクと今すぐできる対策【2026年】

対象バージョンと影響範囲——確認すべき版番号

CVE公式記録によれば、影響を受けるのはBookIt（bookit）バージョン「n/a（起点は不特定）」から2.6.0.6以下のすべてである。バージョン2.6.0.6より上のバージョンは「unaffected（影響なし）」とCVE記録に明記されている（出典：cve.org CVE-2026-62048）。

現時点でCVE記録上にベンダー（Liquid Web／StellarWP）による公式の修正版リリース詳細は記載されていない。