WordPressの予約プラグイン Amelia（Booking for Appointments and Events Calendar – Amelia） に、ログインしていない攻撃者が管理者アカウントのパスワードを書き換えて乗っ取れる脆弱性が公開されました。CVE-2026-9055 です。
まず結論から。バージョン 8.0 以上 9.6.2 以下を使っているなら、9.6.3 以降（最新は 9.8.1）へ更新してください。 修正版そのものは2026年7月7日に出ているので、すでに更新している運用であれば対応済みです。
この記事は2026年9月2日時点で、CVEレコード（採番機関はWordfence）・NVD・開発元の公式チェンジログで裏が取れた内容だけをまとめています。
今すぐ行う対策
- ✓WordPressの管理画面「プラグイン」で Amelia のバージョン番号を確認する。8.0 以上 9.6.2 以下なら対象（これは Premium 版の版数体系。無料版の 2.x は含まれない）
- ✓9.6.3 以降へ更新する。 最新版は 9.8.1（2026年8月26日公開）。Premium版は wpamelia.com のアカウント経由での更新になる
- ✓更新したら、WordPressの「ユーザー」一覧を開き、身に覚えのない管理者アカウントが増えていないか確認する
- ✓既存の管理者アカウントのパスワードを変更し、全ユーザーのログインセッションを破棄する。 更新は入口を塞ぐだけで、すでに奪われたアカウントは元に戻らない
- ✓サイトに管理者以外のユーザー登録を開放している場合は、その必要性をあわせて見直す
このスコアの出どころを明記します。 9.8 / CRITICAL は、このCVEの採番機関（CNA）である Wordfence が CVSS v3.1 で評価した値です（ベクタは `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`）。NVDはこれを Primary として掲載していますが、2026年9月2日時点でNVDの解析ステータスは「Received」で、NIST独自の評価値はまだ付いていません。 後日NISTが別の版や別の数字を付ける可能性があります。
また、この脆弱性はCISAの悪用確認済みリスト（KEV）には登録されていません（カタログ版 2026.09.01 時点）。JVNにも本稿執筆時点では掲載されていません。 ただし、これは「悪用されていない」ことの証明ではありません。 本稿が確認した範囲（CISA KEV、JVN、CVEレコード、開発元の公式チェンジログ）に悪用への言及が無かった、というだけです。
まず「自分が対象か」をバージョン番号で見分ける
Ameliaには無料版と Premium 版があり、版数の付け方が別系統です。 ここを取り違えると、対象でないのに慌てたり、対象なのに見落としたりします。
- ▸CVEレコードが「影響あり」として挙げているのは 8.0 以上 9.6.2 以下だけです（それ以外は既定で「影響なし」として登録されています）。NVDの説明文も対象を Premium 版と明記しています
- ▸Premium 版は 8.x / 9.x 系の版数です。8.0 以上 9.6.2 以下なら対象、9.6.3 以降なら対象外です
- ▸無料版（WordPress.org で配布されている「ameliabooking」）は 2.x 系の版数で、2026年9月2日時点の最新は 2.4.9 です。8.0〜9.6.2 という範囲には当てはまりません
- ▸無料版の有効インストール数は WordPress.org の公開値で 9万件以上。製品自体は広く使われているので、社内・顧客サイトで使っていないかの棚卸しは価値があります
何が起きるのか — 4段階で管理者になる
CVEの記述にもとづくと、攻撃は次の順に進みます。出発点はログインしていない状態です。 「顧客として登録していないから大丈夫」ではありません。
- ▸① 顧客情報の更新エンドポイントで、攻撃者が自由に指定できる `type` パラメータの検証が不十分になっている
- ▸② これを使って、顧客が自分の役割（ロール）を `manager` に設定できる
- ▸③ さらに `externalId` パラメータを 0 にすると、`wpamelia-manager` ロールを持つWordPressユーザーが実際に作成される
- ▸④ 管理者のユーザーIDに紐付けた提供者（provider）エンティティを作ることで、その管理者のパスワードを上書きできる — ここで管理者アカウントが奪われる
WordPressの管理者を取られるということは、サイトの全データ、全ユーザー情報、そしてサーバー上でのコード実行につながる操作（テーマ・プラグインの編集やアップロード）まで届くということです。予約プラグインの不具合という規模では終わりません。
なお開発元は、公式チェンジログで 9.6.3（2026年7月7日） に「Resolved a security vulnerability（セキュリティ脆弱性を修正）」と記載し、「このバージョンへ直ちに更新することを強く推奨する」と書いています。ただしチェンジログはCVE番号を書いていません。 「9.6.3 がこのCVEの修正版である」という対応付けは、CVEレコードが影響範囲を 9.6.2 以下と登録していることから導いたものです。
侵害を受けていないかの確認
開発元は回避策（ワークアラウンド）を公開していません。対処は更新です。 以下は公式に示された痕跡情報（IoC）ではなく、上の攻撃手順から論理的に導かれる確認項目です。見つからないことが「安全である」証明にはなりません。
- ✓WordPressの「ユーザー」一覧に、`wpamelia-manager` 役割を持つ見覚えのないユーザーがいないか
- ✓管理者（Administrator）権限のユーザーが増えていないか。 作成日時が身に覚えのない日付になっていないか
- ✓既存の管理者について、心当たりのないパスワード変更やログイン履歴がないか
- ✓Ameliaの「顧客」「従業員（提供者）」の一覧に、登録した覚えのないエントリがないか
- ✓サイトのファイルに、心当たりのないテーマ・プラグインの追加や、既存ファイルの更新日時の変化がないか
この件から持ち帰れること
修正版が出てからCVEが公開されるまでには時間差があります。 このCVEでは、開発元への通知が2026年5月20日、修正版 9.6.3 の公開が7月7日、CVEとしての公開が9月2日でした。「更新を溜めていた環境」だけが、公開の瞬間に無防備な状態で取り残されます。 更新を後回しにするコストは、こういう形で現れます。
そして、脆弱性の深刻さは製品の大きさでは決まりません。 予約フォームのプラグイン1つが、サイト全体の管理者権限への入口になります。WordPressサイトでは、テーマとプラグインを「サイトの一部」ではなく「サイトと同じ権限で動く外部のコード」として棚卸ししてください。使っていないプラグインは、停止ではなく削除が確実です。