WordPressの二要素認証プラグイン miniOrange 2FA に、未認証の訪問者が、サイトの設定値（option）を名前を指定して削除できる欠陥が見つかりました。CVE-2026-77770 です。
結果として起きることは2つ、と発見者側は説明しています。サイトのすべての管理者が管理画面から締め出される、あるいはサイトのすべてのプラグインが無効化される。ログインを守るために入れたプラグインが、ログインできなくなる原因になり得ます。
やることは1つです。無料版は 6.3.1、Pro版は 19.3 へ今日更新してください。
今すぐ行う対策
- ✓WordPress管理画面の「プラグイン」でバージョンを確認する。 採番元のWPScanがCVE記録に登録した影響範囲は、無料版が 5.3.24 以上 6.3.1 未満、Pro版が 18.0 以上 19.3 未満です。これより古い版を使っている場合も修正版ではないので、同じように更新してください。
- ✓更新する。 無料版 6.3.1 は2026年9月7日に WordPress.org 上で公開されており、更新内容として「メール確認リンクの処理における、未認証での任意のWordPress option削除の修正」が明記されています。
- ✓自動更新を有効にする。 プラグイン一覧の「自動更新を有効化」を押しておくと、次に同種の修正が出たときの適用が早くなります。
- ✓更新後、管理者アカウントでログインし直せることを確かめる。 更新は入口を塞ぐだけで、すでに削除された設定は元に戻りません。
- ✓複数サイトを管理しているなら、全サイトを数える。 このプラグインは WordPress.org の表示で有効インストール数1万以上です。1サイト直しただけで終わりにしないでください。
このスコアの出所を明示します。 上の 10.0 は、このCVEを採番した WPScan（CNA）が付けた CVSS v3.1 の値で、ベクタは `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H` です。NVDにおけるこの記録の状態は「Deferred」で、NIST自身の評価は載っていません。別の版（v4.0）の評価も現時点ではありません。
ベクタを読むと、この脆弱性の性格が分かります。`PR:N`（権限不要）・`UI:N`（利用者の操作不要）で、`C:N`（情報は漏れない）・`I:H`・`A:H`（改ざんと可用性への影響は大）。つまりデータを盗まれる類ではなく、サイトを壊される・締め出される類です。10.0という最大値は、`S:C`（影響範囲がプラグインの外＝サイト全体に及ぶ）が加わった結果です。
何が起きるのか：チェックが抜けていた
NVDの記述によれば、このプラグインは削除するoption名を未認証のリクエスト入力から受け取りながら、有効な処理であることの確認（validated transaction）を求めていませんでした。WPScanはこれを CWE-862（認可の欠落）、OWASP Top 10 の A5: Broken Access Control に分類しています。
WordPressの option は、サイトのタイトルやURL、プラグインの有効・無効といった設定が入っている保管場所です。そこから任意の名前を指定して消せる、というのがこの欠陥の内容です。
皮肉な点を指摘しておきます。 影響として名指しされているのは「全管理者の締め出し」と「全プラグインの無効化」で、無効化されるプラグインにはこの miniOrange 2FA 自身も含まれます。
二要素認証は、パスワードが漏れた後の最後の砦です。それが外部から無効化され得るということは、この脆弱性を放置すると、ログイン防御そのものが攻撃者の都合で外せる状態になるということです。
「悪用は確認されていない」が、10月8日という期限がある
現時点の状況を、盛らずに書きます。
このCVEは、CISAのKEV（悪用が確認された脆弱性）カタログには入っていません。NVDに併載されている CISA の SSVC 評価も `exploitation: none`（悪用の確認なし）です。
それでも今日更新すべき理由は2つあります。同じSSVC評価が `automatable: yes`（自動化可能） としていること。そして WPScan が実証コード（PoC）の公開日を 2026年10月8日と予告していることです。猶予は「まだ誰も攻撃していない今」だけで、期限が先に決まっています。
対象と修正版
- ▸対象：miniOrange 2FA（無料版）5.3.24 以上 6.3.1 未満（CVE記録に登録された影響範囲）
- ▸対象：miniOrange 2FA Pro 18.0 以上 19.3 未満（同上）
- ▸修正版：無料版 6.3.1（WordPress.org 上の公開は2026年9月7日）／ Pro 19.3
- ▸公表：WPScan が2026年9月8日に公開、NVD への登録は2026年9月10日
- ▸規模：WordPress.org の表示で有効インストール数 1万以上
すでに異常があるときの初動
更新はこれから起きることを止める措置で、すでに消えた設定は戻しません。次の兆候があれば、更新と並行して復旧の判断が要ります。
- ✓管理画面にログインできない／管理者権限が効かない。 心当たりのない締め出しは、この脆弱性で名指しされている影響そのものです。
- ✓プラグインが軒並み無効化されている。 自分でも他の管理者でも操作していないなら、原因を調べる対象です。
- ✓まずバックアップからの復元を検討する。 レンタルサーバーやVPSの管理画面に自動バックアップがあるなら、異常が出る前の時点を選びます。復元前に、現在の状態のバックアップも別途取っておいてください。
- ✓復元の前後で、プラグインを必ず修正版へ更新する。 古いまま復元すると、同じ入口が開いたままになります。
- ✓アクセスログを保存する。 原因の切り分けと、ホスティング事業者への相談に使います。上書きされる前に確保してください。
この記事では、回避策としての設定変更やWAFルールは書きません。公式が示していないものを推測で載せると、効かない対策で安心させてしまうためです。公表されている対処は「修正版への更新」です。