WordPressの人気プラグイン「Burst Statistics」に緊急の脆弱性、管理者アカウントを乗っ取られるおそれ（CVE-2026-8181）
ひとことで言うと：20万件以上のサイトで使われているWordPressのアクセス解析プラグイン「Burst Statistics」に、ログインなしで管理者アカウントになりすませてしまう緊急の不具合が見つかりました。来店者数を数える受付カウンターの連携機能で、本人確認の仕組みが壊れていて、名前を名乗るだけで通してしまう状態になっていたようなものです。2026年5月12日に修正版（3.4.2）が公開されています。実際に悪用を狙った攻撃が確認されたとの報告も複数あり、該当するサイトは早急な更新が必要です。
何が起きたか
WordPressのアクセス解析プラグイン「Burst Statistics」の3.4.0〜3.4.1.1に、プラグインの「MainWP連携」機能に関する認証処理の不具合（CVE-2026-8181）が見つかりました。セキュリティ企業Wordfenceの解析によると、プラグイン内部の認証判定を行う関数（is_mainwp_authenticated()）が、認証に失敗した場合の戻り値の扱いを誤っていたため、ログインなしの第三者が、管理者のユーザー名さえ分かっていれば、適当なパスワードを使ってもその管理者になりすませてしまう状態になっていました。いわば、来店者数を数える受付カウンターのチェック機が、確認に失敗したときに「通してよい」という誤った判定を返してしまい、受付係が名前を聞くだけで合言葉（パスワード）の内容を確認せずに中へ通してしまうようなものです。
Wordfenceはこの不具合を危険度の最高ランクに近い評価（CVSS 9.8、緊急）としており、開発元は2026年5月12日に修正版3.4.2を公開しています。複数のセキュリティ企業が、修正版公開の前後から実際にこの不具合を狙った攻撃を確認・ブロックしたと報告していますが、攻撃開始の正確な時期や件数については報告元によって数値に差があります。
誰に関係するか
WordPressで作られたサイトに、プラグイン「Burst Statistics」のバージョン3.4.0〜3.4.1.1をインストールしている場合が対象です。Burst Statisticsは、Googleアナリティクスのような外部サービスを使わずにサイト内でアクセス解析ができる「プライバシー重視」をうたうプラグインで、いわば来店者を自分の店の受付カウンターだけで数える仕組みです。20万件以上のサイトで使われているとWordfenceは報告しています。すでに3.4.2以降に更新されているサイトは対象外です。
何をすべきか
1. プラグインの有無とバージョンを確認する
WordPressの管理画面の「プラグイン」一覧から、Burst Statisticsがインストールされているか、されていればバージョンがいくつかを確認します。自分で確認できない場合は、サイトの制作・管理会社に確認を依頼してください。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も使えます。
2. 未更新なら今すぐ更新する
バージョンが3.4.2より前であれば、今すぐ最新版に更新してください。
3. 不審な管理者アカウントがないか確認する
すでに悪用された可能性もゼロではないため、受付を一度誰かが通り抜けてしまったかもしれないという前提で、管理画面の「ユーザー」一覧に、身に覚えのない管理者アカウントが追加されていないか確認することをおすすめします。不審な点があれば、更新に加えてパスワードの変更も検討してください。
よくある質問
このプラグインを使っていなければ関係ありませんか？
はい。この問題は「Burst Statistics」というWordPressプラグインを使っているサイトに限られます。ただし、自分のサイトにどのプラグインが入っているか把握できていない場合は、この機会に管理画面のプラグイン一覧を確認することをおすすめします。
どのバージョンが対象ですか？
Burst Statisticsのバージョン3.4.0〜3.4.1.1が対象です。2026年5月12日に公開された3.4.2以降であれば対象外です。
何をすればいいですか？
WordPressの管理画面でBurst Statisticsのバージョンを確認し、3.4.2より前であれば今すぐ更新してください。自分で確認できない場合は、サイトの制作・管理会社に確認を依頼してください。
参考にした公開情報
攻撃開始の正確な日時や攻撃件数は、参照元によって報告内容に差があるため、本記事では確定した事実としては記載していません。この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。