blog

AIブログ

WP Duplicate脆弱性CVE-2026-123751——CVSS 9.8の認証不要RCE、修正版は記載なし

公開日：2026年11月13日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-123751とは——WP Duplicateに何が起きたか

2026年11月9日、WordPress用プラグイン「WP Duplicate」のバージョン1.1.11以下に、深刻な脆弱性が正式に記録された。CVE番号はCVE-2026-123751。採番はセキュリティ調査機関WPScanが行い、CVE公式記録（cve.org）に登録されている。CVSS 3.1スコアは9.8（CRITICAL）——評価はCISA-ADPによる。攻撃ベクターはネットワーク経由、攻撃の複雑さは低く、認証も不要、ユーザーの操作も一切必要としない。

弱点の種類はCWE-434（Unrestricted Upload of File with Dangerous Type）に分類される。アップロードされるファイルの種類やパスを検証しないまま受け付ける実装上の問題であり、攻撃者はPHPなどの実行可能ファイルをサーバーに設置し、リモートコード実行（RCE）を達成できる状態となる。

2026年11月10日時点のEPSS（悪用される確率の統計的推定）は0.0061（パーセンタイル0.496）と報告されている。CISA KEVには掲載されていないが、この脆弱性は実際に悪用されている（actively exploited in the wild）。

図1: CVE-2026-123751で想定される経路。未認証の攻撃者がWP Duplicate（1.1.11以下）の不備を突き、任意ファイルをサーバーに書き込むとリモートコード実行（RCE）に至る恐れがある。

WP Duplicate 脆弱性CVE-2026-123751の技術的背景——なぜ「認証なし」が深刻なのか

WordPressプラグインにおけるファイルアップロード機能は、適切に実装されていれば管理者権限の確認（nonce検証・capability check）が前提となる。しかしCVE-2026-123751では、リクエストの認証値を適切に検証しておらず、かつアップロードされるファイルのパスまたは種類も検証していない。二つの不備が重なった結果、認証を持たない外部の攻撃者でも任意のファイルを設置できる状態が生まれる。

これがCVSSの攻撃複雑度（AC:L）・特権不要（PR:N）・ユーザー操作不要（UI:N）の各評価に対応する。

影響を受けるバージョンは0から1.1.11以下（semver準拠）。

次に読む：AIハッキングの主な被害一覧は？日本・世界の事例

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜11月】

WP Duplicate 脆弱性CVE-2026-123751に関わるリスクの整理

本脆弱性について、既知の情報と確認できていない情報を区別して整理する。

評価項目	確認済みの情報	備考・注意
CVSSスコア（3.1）	9.8 CRITICAL（評価者: CISA-ADP）	評価機関により値が異なる場合あり
影響を受けるバージョン	WP Duplicate 1.1.11以下	semver 0〜1.1.11
脆弱性の種類	CWE-434（危険なファイルの無制限アップロード）	認証バイパス＋ファイル検証不備の複合
攻撃要件	認証不要・ネットワーク経由・操作不要	CVSS: AV:N/AC:L/PR:N/UI:N
到達しうる被害	任意ファイル書き込み・RCEの達成	C:H / I:H / A:H（機密性・完全性・可用性すべて高）
CISA KEV掲載	掲載なし	CISA KEVには未掲載だが、実際に悪用されていると報告されている
EPSS（悪用確率推定）	0.0061（パーセンタイル0.496、2026年11月10日時点）	統計的推定。確定値ではない
公式の修正版・回避策	CVE記録に記載なし（2026年11月9日時点）	ベンダー告知の最新情報を随時確認する
AIとの関係	確認なし	AI製品の欠陥・AI検出のいずれも確認されていない

表中の「公式の修正版・回避策」の欄は「記載なし」となっている。ベンダー告知の本文は取得できておらず、修正バージョンの番号は確認できていない。

CISA KEVへの掲載はないが、この脆弱性は実際に悪用されている（actively exploited in the wild）と報告されている。EPSSは悪用される確率の統計的推定であり、KEV掲載の有無とは別の指標である。

今やること——WP Duplicate CVE-2026-123751への対応

CVSSスコア9.8は、スコア体系の中で最上位に位置するCRITICALの水準だ。

以下の2点が、現時点で確認できる事実に基づく対応の軸となる。

1. 修正版の確認と更新
WP Duplicateをバージョン1.1.11以下で稼働している環境では、ベンダーが告知する修正版へ更新する。本記事執筆時点でCVE記録に修正バージョンの番号は記載されていない。

2. 公式の回避策
CVE記録に回避策の記載はない。ベンダー告知本文が取得できていないため、公式の回避策は「記載なし」とする。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

〈参考文献〉

CVE-2026-123751 | CVE Record — https://www.cve.org/CVERecord?id=CVE-2026-123751
CVE-2026-123751 | NVD — https://nvd.nist.gov/vuln/detail/CVE-2026-123751
CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。

脆弱性への対応・AIセキュリティでお困りの方へ

クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティのご相談、AIを業務に取り入れる際のセキュリティを学ぶ研修をお受けしています。「使っている製品が対象か分からない」「社内でAIを使うときの注意点を整理したい」といった段階からご相談いただけます。

無料相談・お問い合わせ：ご相談はこちら
提供内容と料金：脆弱性の監視サービス

監修

河合継（クリスタルメソッド株式会社代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について｜編集方針