記事
EmDash とは。WordPress の「後継」を名乗る Cloudflare 製 CMS と、移行すべき人・しない方がいい人
Cloudflare が2026年9月に正式版を公開した新しい CMS。WordPress のテーマ・プラグインは動かず、中身は移せても見た目と機能は作り直しです。移行に向く人・向かない人と、移行の順番を整理します。
セキュリティニュース
話題になった脆弱性（セキュリティ上の弱点）を、「何が起きたか」「誰に関係するか」「何をすべきか」の3つに分けて、専門用語なしで解説します。
-
-
記事
PHP本体に緊急の脆弱性、ログインなしでサーバーを乗っ取られるおそれ（CVE-2026-109618 / CVE-2026-109619）
WordPressなど特定のソフトの問題ではなく、PHPで動くほぼすべてのサイトが対象になり得る、ログインなしで任意の命令を実行されるおそれがある不具合です。
-
記事
WordPressの定番バックアッププラグイン「UpdraftPlus」に緊急の脆弱性、ログインなしで管理者権限を奪われるおそれ（CVE-2026-10795）
300万件以上のサイトで使われているバックアッププラグインに、特定の連携機能を有効にしているとログインなしで乗っ取られるおそれがある不具合が見つかりました。
-
記事
WooCommerce連携プラグイン「Hippoo」に緊急の脆弱性、ログインなしで管理者になりすませるおそれ（CVE-2026-10580）
ネットショップ機能WooCommerceと連携するスマホアプリ用プラグインに、ログインなしで管理者のパスワードを勝手に変更されるおそれがある不具合が見つかりました。
-
記事
フィッシング報告が過去最多の245万件に。自社ドメインが「なりすまし」に使われないための備え（フィッシング対策協議会）
2025年のフィッシング報告が過去最多に。送信ドメイン認証を正規に通過する「自前ドメイン」を使う手口が急増しているという分析も紹介します。
-
記事
CMS「Movable Type」に緊急の脆弱性、外部からコードを実行されるおそれ（CVE-2026-96408）
国内で広く使われているCMS「Movable Type」「Movable Type Premium」に、ログインなしで外部から任意のコードを実行されるおそれがある緊急の不具合が見つかりました。
-
記事
WordPress本体に、ログインなしでサイトを乗っ取られるおそれ（CVE-2026-60137 / CVE-2026-63030）
WordPress本体に、2つの不具合を組み合わせることでログインなしにサイトを乗っ取られるおそれがある脆弱性が見つかりました。悪用も確認されています。
-
記事
WordPressプラグイン「PublishPress Revisions」に、ログインなしでデータを盗まれるおそれ（CVE-2026-32539）
1万件以上のサイトで使われているプラグインに、ログインなしでデータベースの内容を抜き取られるおそれがある不具合が見つかりました。
-
記事
国産CMS「baserCMS」に複数の脆弱性、ログインなしのSQL注入も（JVN#14353754）
日本の地方自治体・企業サイトでも使われている国産CMSに、ログインなしでデータベースを操作できるものを含む複数の脆弱性が見つかりました。
-
記事
データベース「MySQL 8.0」のサポートが実質終了。古いまま運用していませんか
多くのウェブサイト・ECサイトがデータ保存に使っている「MySQL」8.0系が、通常の無償サポート対象から外れました。
-
記事
EC-CUBEのAmazon Payプラグインに、注文中に不正サイトへ誘導されるおそれ（CVE-2026-103671）
EC-CUBE4系の公式「AmazonPayプラグイン」に、注文手続き中に任意のサイトへ転送されるおそれがある不具合です。開発元は既に悪用された事例を確認していると公表しています。
-
記事
WordPressの人気プラグイン「Kirki」に管理者アカウント乗っ取りのおそれ（CVE-2026-8206）
50万以上のサイトで使われているプラグイン「Kirki」で、ログインなしで管理者アカウントを乗っ取れる不具合がありました。多くのテーマに同梱されています。
-
記事
PHP 8.1 のサポートが終了しました。古いPHPのまま運用していませんか
PHP 8.1 系は2025年末に、8.0・7.4 はさらに前に、開発元による安全上の修正提供が終了しています。使っている版を確認しましょう。
-
記事
Windows で動く PHP に、外部から命令を実行されるおそれ（CVE-2024-4577）
Windows のサーバーで PHP を「CGI」という方式で動かしている場合に、サーバー上で好きな命令を実行されるおそれがある不具合です。修正版が公開されています。
-
記事
IPA「情報セキュリティ10大脅威 2026」から、小さな会社が気をつけたいこと
IPAが発表した1年間の脅威ランキングを紹介します。特定の脆弱性ではなく、備えの優先順位を考えるための年次レポートです。
-
記事
レンタルサーバー管理画面「cPanel/WHM」に緊急の脆弱性、ログインなしで管理者権限を奪われるおそれ（CVE-2026-41940）
多くのレンタルサーバー会社が使う管理ソフト「cPanel/WHM」に、ログインなしで管理者権限を奪われるおそれがある不具合が見つかりました。米国CISAは悪用の可能性が高いとして注意喚起を行っています。
-
記事
WordPressの人気プラグイン「Burst Statistics」に緊急の脆弱性、管理者アカウントを乗っ取られるおそれ（CVE-2026-8181）
20万件以上のサイトで使われているアクセス解析プラグインに、ログインなしで管理者になりすませる不具合が見つかりました。実際に悪用を狙った攻撃も確認されています。
-
記事
CMS「Joomla」本体に、二段階認証を回避されるおそれ（CVE-2026-92227）
世界的に使われているCMS「Joomla」の本体に、管理画面の二段階認証を回避されるおそれがある不具合が見つかりました。2026年9月29日公開の修正版で対応しています。
-
記事
ランサムウェア被害、2026年上半期で過去最多に。中小企業が約6割を占める（警察庁）
警察庁が公表した2026年上半期の統計では、国内のランサムウェア被害が過去最多の123件。被害企業・団体の約6割を中小企業が占めています。
-
記事
600万以上のサイトで使われる「Elementor Pro」に緊急の脆弱性、既に乗っ取り攻撃が確認されています（CVE-2026-32475）
人気ページビルダー拡張「Elementor Pro」に、問い合わせフォームからログインなしでサイトを乗っ取られるおそれがある不具合。公表当日から大規模な悪用が確認されています。
-
記事
国内組織への不正アクセスが相次いでいます。APIを狙う手口など複数の攻撃パターン（JPCERT/CC）
JPCERT/CCが2026年9月前後から相次ぐ国内組織への不正アクセスについて注意喚起。社内向けシステムやAPIを狙う手口など、増加しているおそれのある攻撃パターンをまとめています。
-
記事
700万以上のサイトで使われる「LiteSpeed Cache」に、特定の環境で不正なスクリプトを埋め込まれるおそれ（CVE-2026-3375）
WordPressの代表的な高速化プラグインに、特定の通信環境でログインなしに不正なJavaScriptを埋め込まれるおそれがある不具合が見つかりました。
-
記事
国内シェア上位のネットショッププラグイン「Welcart e-Commerce」に、ログインなしで操作されるおそれ（CVE-2026-49775）
国内シェア上位をうたうWordPress用ネットショッププラグインに、ログインせずに本来は制限された操作へ到達できてしまうおそれがある不具合が見つかりました。
-
記事
多言語化プラグイン「TranslatePress」に緊急の脆弱性、ログインなしで管理者アカウントを乗っ取られるおそれ（CVE-2026-19632）
40万以上のサイトで使われている多言語化プラグインに、特定の設定のもとでログインなしに管理者アカウントを乗っ取れる不具合が見つかりました。
-
記事
フォーム作成プラグイン「Forminator」に緊急の脆弱性、ログインなしで不正なファイルを設置されるおそれ（CVE-2026-15748）
60万以上のサイトで使われているフォーム作成プラグインに、ログインなしで不正なファイルを設置され、サイトを乗っ取られるおそれがある不具合が見つかりました。
-
記事
EC-CUBEに、二要素認証を回避して管理画面に入られるおそれ（CVE-2026-30777）
管理者のID・パスワードを既に入手した攻撃者が、二要素認証（多要素認証）を回避して管理画面に不正ログインできるおそれがある不具合が見つかりました。