WordPressプラグイン「PublishPress Revisions」に、ログインなしでデータを盗まれるおそれ（CVE-2026-32539）

何が起きたか

2026年3月、WordPress用プラグイン「PublishPress Revisions」（旧名Revisionary。公開されたコンテンツの変更を承認制にする機能を提供するプラグインで、いわば「原稿の修正履歴を記録し、承認が済むまでは公開させない編集ノート」のような役割を担っています）に、SQLインジェクションという種類の不具合（CVE-2026-32539）が見つかり、修正版3.7.24が公開されました。CVSS v3.1での深刻度は10点満点中9.3と、緊急に近い高さで評価されています。

この不具合は、たとえるなら、編集ノートの受付で名前を記帳すること（ログイン）なく、カードの束にこっそり偽の索引カードを差し込んで、ノートの管理台帳そのものを書き換えられてしまうようなものです。実際には、ログインなしで、外部から特殊な文字列を送り込むことでデータベースへの命令（SQL）を書き換えられてしまうというものです。報告によれば、ユーザーの認証情報やログイン状態を保つための情報が盗まれるおそれがあるほか、設定によっては管理者権限を奪われるおそれもあるとされています。このプラグインはWordPress公式ディレクトリで「1万件以上」の有効インストール数があると表示されています（2026年10月時点）。

誰に関係するか

WordPressで、プラグイン「PublishPress Revisions」のバージョン3.7.23以前を使っているサイトが対象です。このプラグインを使っていないサイトには関係ありません。

プラグインを使っているかどうかや、バージョンがいくつかは、WordPressの管理画面（プラグイン一覧）で確認できますが、自分でサイトを管理していない場合は、制作・管理会社に確認してもらう必要があります。

何をすべきか

1. プラグインの使用状況を確認する

「PublishPress Revisions」を使っているか、使っている場合のバージョンを、管理会社に確認してもらいましょう。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も活用できます。

2. 対象なら更新する

対象だった場合は、バージョン3.7.24以降に更新してください。

3. すぐに更新できない場合

更新がすぐにできない場合は、プラグインを一時的に無効化することも一つの方法です。無効化による機能への影響（公開済みコンテンツの変更承認フローが使えなくなる等）も含めて、管理会社と相談してください。

よくある質問

自分のサイトは影響を受けますか？

このプラグインのバージョン3.7.23以前を使っている場合に影響を受けるおそれがあります。修正版3.7.24以降では対応済みです。

このプラグインを使っていなければ関係ありませんか？

はい、関係ありません。ただし使っているかどうかを自分で把握していないケースも多いため、一度確認しておくと安心です。

何をすればいいですか？

対象だった場合は3.7.24以降に更新してください。すぐに更新できない場合は、一時的な無効化も検討しましょう。

参考にした公開情報

• TZ-CERT：Advisory TZCERT-SA-26-0138（英語）
• Wiz：CVE-2026-32539 脆弱性データベース（英語）
• WordPress公式プラグインページ（PublishPress Revisions、有効インストール数の確認）

この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。