700万以上のサイトで使われる「LiteSpeed Cache」に、特定の環境で不正なスクリプトを埋め込まれるおそれ（CVE-2026-3375）

何が起きたか

2026年5月、700万件以上のサイトで使われているWordPress用プラグイン「LiteSpeed Cache」の7.7以前のバージョンに、「蓄積型クロスサイトスクリプティング（Stored XSS）」と呼ばれる種類の不具合があることが公表されました。この不具合には「CVE-2026-3375」という管理番号がついています。

LiteSpeed Cacheには、「QUIC.cloud」という連携サービスから送られてきたCSS（ページのデザインを指定するコード）を受け取り、サイトのファイルとして保存する機能があります。この機能を提供するAPI（プログラム同士がやり取りする窓口）は、いわば倉庫の裏口のような受け取り口で、送信元のIPアドレスという「配達トラックのナンバープレート」を確認することでQUIC.cloudからの荷物だけを受け付ける仕組みになっています。ところが、サイトがリバースプロキシやロードバランサー、CDN（コンテンツ配信網）といった中継の仕組みを経由している一部の環境では、裏口の見張りが本物のナンバープレートを正しく読み取れず、このIPアドレス確認をすり抜けられる場合があります。その場合、ログインしていない第三者が、デザイン用の荷物（CSS）のふりをして不正なJavaScriptを裏口から持ち込むことができ、そのコードはサイトを訪れた人のブラウザ上でエスケープ処理（無害化）されずに実行されてしまうおそれがあります。深刻さを表す点数（CVSS）は10点満点中7.2（重要）です。

開発元は、保存するCSSの内容からHTMLタグを除去する対応を行ったとみられ、2026年10月時点のWordPress公式プラグインページによると最新版は7.9.2です。この不具合を修正した7.8以降であれば対象外です。

誰に関係するか

次の条件にすべて当てはまるサイトが対象です。

• WordPressで「LiteSpeed Cache」プラグインを使っている
• プラグインのバージョンが7.7以前である
• サイトがリバースプロキシ・ロードバランサー・CDNなどを経由する構成になっている（この条件に当てはまらない一般的な構成では、悪用の難易度が上がるとされています）

LiteSpeed Cacheを使っていないサイトは対象外です。自分のサイトの通信経路の構成は、裏口の見張り（IPアドレス確認）が正しく機能する経路になっているかという専門的な内容になるため、心配な場合は制作会社・管理会社に確認してもらいましょう。

何をすべきか

1. 管理会社に確認し、最新版へ更新する

「LiteSpeed Cacheを使っているか」「バージョンはいくつか」を制作会社・管理会社に確認してもらい、最新版への更新を依頼してください。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も使えます。

2. 日頃からプラグインを最新に保つ

この不具合のように、一見すると自分には関係なさそうな技術的な条件がついた不具合でも、裏口の受け取り口自体を新しく作り直す（最新版に更新する）ことで、条件を気にせず済むようになります。プラグインの日常的な管理については、教材「プラグイン・テーマの安全な管理」で解説しています。

よくある質問

自分のサイトは影響を受けますか？

WordPressでキャッシュ・高速化プラグイン「LiteSpeed Cache」をバージョン7.7以前で使っている場合に関係します。ただし実際に悪用できるのは、サイトがリバースプロキシ・ロードバランサー・CDNなど特定の構成を経由していて、プラグインのIPアドレス確認をすり抜けられる場合に限られます。LiteSpeed Cacheを使っていないサイトは対象外です。

どのような被害につながるのですか？

本来はQUIC.cloudという連携サービスからの通信だけを受け付けるはずの仕組みが、特定の環境では回避できてしまい、サイトに保存されるCSS（デザイン用のコード）に不正なJavaScriptを埋め込める可能性があります。埋め込まれたコードは、サイトを訪れた人のブラウザ上で実行されるおそれがあります。

何をすればいいですか？

LiteSpeed Cacheを最新版に更新してください。2026年10月時点の最新版は7.9.2で、この不具合を修正した7.8以降のバージョンです。

参考にした公開情報

• NVD：CVE-2026-3375（英語）
• Wordfence：LiteSpeed Cache <= 7.7 - Unauthenticated Stored Cross-Site Scripting（英語）
• WordPress公式プラグインディレクトリ：LiteSpeed Cache

この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。悪用に必要な環境条件の詳細や、正確な修正版のバージョン番号は、開発元の公式情報でご確認ください。個別のサイトの安全を保証するものではありません。