CVE-2026-6456 WordPress用Account Switcherプラグイン（バージョン1.0.2まで）の脆弱性をわかりやすく解説｜影響範囲と対策まとめ

結論

WordPress用のAccount Switcherプラグインには、バージョン1.0.2までのすべてのバージョンにおいて権限昇格の脆弱性があります。この脆弱性により、認証された攻撃者が他のユーザーアカウントに切り替え、管理者権限を取得する可能性があります。

この記事の要点

• Account Switcherプラグインは、バージョン1.0.2までのすべてのバージョンに脆弱性が存在。
• rememberLogin REST APIエンドポイントの秘密検証に問題がある。
• 認証された攻撃者が任意のユーザーアカウントに切り替え可能。
• 管理者権限を不正に取得するリスクがある。

脆弱性の概要

WordPress用のAccount Switcherプラグインは、バージョン1.0.2までのすべてのバージョンにおいて、権限昇格の脆弱性があります。この脆弱性は、rememberLogin REST APIエンドポイントが秘密の検証において緩い比較（!=の代わりに!==を使用）を行っていることと、秘密が空でないことの検証が行われていないことに起因しています。ターゲットユーザーが「Remember me」機能を使用したことがない場合、asSecretユーザーメタが存在せず、get_user_meta()が空の文字列を返します。攻撃者は空のsecretパラメータを送信することができ、比較が通過し（'' != ''はfalse）、エンドポイントはターゲットユーザーのためにwp_set_auth_cookie()を呼び出します。さらに、すべてのRESTルートはpermission_callback => '__return_true'を使用しており、権限チェックが行われていません。これにより、Subscriberレベル以上の認証された攻撃者が任意のユーザーアカウントに切り替えることが可能になり、最終的には完全な管理者権限を取得することができます。

項目	内容
CVE番号	CVE-2026-6456
公開日	2026-05-20T02:16:38.637000Z
対象システム	WordPress用Account Switcherプラグイン（バージョン1.0.2まで）
脆弱性の種類	権限昇格
CVSSスコア	8.8
攻撃条件	認証済みユーザーによる攻撃（Subscriberレベル以上）

まず何をすべきか

• 使用しているWordPressのAccount Switcherプラグインのバージョンを確認する。
• バージョンが1.0.2以下の場合、直ちにアップデートを行う。
• プラグインの設定を見直し、権限管理を強化する。

出典元

• NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-6456
• CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-6456
• security@wordfence.com：https://plugins.trac.wordpress.org/browser/account-switcher/tags/1.0.2/app/PluginHero/BaseAPI.php#L54
• security@wordfence.com：https://plugins.trac.wordpress.org/browser/account-switcher/tags/1.0.2/app/RestAPI.php#L111
• security@wordfence.com：https://wordpress.org/plugins/account-switcher/
• security@wordfence.com：https://www.wordfence.com/threat-intel/vulnerabilities/id/9e9cfb9b-6951-4246-9cd6-dd64fee3a1bc?source=cve

対象システムと影響範囲

WordPress用のAccount Switcherプラグインを使用しているすべてのユーザーが影響を受けます。特に、バージョン1.0.2までのものが対象です。

被害内容

この脆弱性が悪用されると、攻撃者は他のユーザーアカウントに切り替え、管理者権限を不正に取得することが可能になります。

既知の悪用状況

現時点では実際の攻撃への悪用は確認されていません。

対応方法

• ベンダーからの修正バージョンがリリースされ次第、速やかにアップデートを行うことが推奨されます。

FAQ

Q1. どの製品が影響を受けますか？

WordPress用のAccount Switcherプラグインが影響を受けます。バージョン1.0.2までのものが対象です。

Q2. まず何をすればよいですか？

プラグインのバージョンを確認し、必要に応じてアップデートを行ってください。

Q3. 実際の悪用は確認されていますか？

現時点では実際の攻撃への悪用は確認されていません。

参考情報

• NVD詳細ページ