多言語化プラグイン「TranslatePress」に緊急の脆弱性、ログインなしで管理者アカウントを乗っ取られるおそれ（CVE-2026-19632）
ひとことで言うと：40万以上のサイトで使われているWordPress用の多言語化プラグイン「TranslatePress」のバージョン 3.3.1 以前に、特定の設定のもとでログインなしに管理者アカウントを乗っ取れる不具合がありました。サイトの通訳・翻訳窓口が使う共有の作業メモに、本来は本人しか見てはいけないパスワード再設定の控えが紛れ込んでしまい、その窓口を通じて誰でもメモを読み出せてしまう、というイメージの不具合です。修正版 3.3.2（現在の最新は3.3.4）が公開されています。
何が起きたか
「TranslatePress」は、1つのWordPressサイトを複数の言語で運営できるようにする、多言語化のための人気プラグインです。40万以上のサイトで有効化されていると報告されています。
このプラグインに「CVE-2026-19632」という管理番号がつけられた不具合が見つかりました。TranslatePressには、翻訳文を自動的に保存する機能（既定で有効）があり、管理者のプロフィールで使用言語が公開済みの第2言語に設定されていると、パスワード再設定用のURL（再設定キーを含む）が翻訳データベースに記録されてしまう場合があります。いわば、通訳窓口が作業用に使っている共有メモ帳に、本来は本人限りのはずのパスワード再設定の控えがうっかり書き込まれてしまうようなものです。攻撃者はログイン不要で呼び出せる「trp_get_translations_regular」というAJAX機能を通じて、この翻訳データベースの内容を取得し、記録されたパスワード再設定リンクを使って管理者アカウントを乗っ取ることができました。この機能は、窓口の受付で本人確認をせずにメモ帳を見せてしまうような仕組みになっていたと言えます。
深刻さを表す点数（CVSS）は 9.8 で、10点満点に近い「緊急」レベルです。この不具合は、Wordfenceのバグ報奨金制度を通じて「momopon1415」という名前の研究者から報告され、975ドルの報奨金が支払われたと報じられています。
誰に関係するか
次の条件に当てはまるサイトが対象です。
- WordPress で「TranslatePress」プラグインが有効になっている
- TranslatePress のバージョンが 3.3.1 以前である（3.3.2 以降は修正済み）
- （悪用の条件として）「文字列の自動保存」機能が有効になっている（既定で有効）、かつ管理者のプロフィールの使用言語が公開済みの第2言語に設定されている
悪用には特定の条件が必要ですが、条件自体はTranslatePressを多言語サイトとして使っていれば起こりうる設定です。窓口が開いているかどうかの条件を一つひとつ確かめるよりも、まずは最新版に更新することを優先してください。なお、修正版3.3.2には別の不具合（CVE-2026-66582）が残っていたため、WordPress.org では現在、さらに新しい3.3.4が最新版として案内されています。
何をすべきか
1. バージョンを確認する
WordPress の管理画面から「プラグイン」を開き、「TranslatePress」があるか、あればバージョンがいくつかを確認します。分からない場合は、HEIMVAIL の無料チェックで作れる依頼文を使って制作会社・管理会社に確認を依頼してください。
2. 対象なら最新版に更新する
バージョンが 3.3.1 以前であれば、できるだけ早く最新版（3.3.4 以降）に更新してください。すぐに更新できない場合は、プラグインを一時的に無効化することも検討しましょう。
3. 乗っ取られていないか確認する
翻訳窓口のメモ帳が一度誰かの目に触れてしまったかもしれない前提で、「ユーザー」の一覧に見覚えのない管理者アカウントが追加されていないか、あわせて確認することをおすすめします。
よくある質問
自分のサイトは影響を受けますか？
WordPress で「TranslatePress」というプラグインが有効になっており、そのバージョンが 3.3.1 以前の場合に影響を受けるおそれがあります。特に、サイトを多言語で運営していて「文字列の自動保存」機能を使っている場合は優先して確認してください。
条件が複雑で分かりません。何をすればいいですか？
条件を一つひとつ確認するよりも、まずはプラグインを最新版に更新することが最も確実な対応です。TranslatePress のバージョンが 3.3.1 以前であれば、できるだけ早く最新版へ更新してください。
どのくらい深刻な不具合ですか？
深刻さを表す点数（CVSS）は 9.8 で、10点満点に近い「緊急」レベルです。ログイン不要で管理者アカウントを乗っ取られるおそれがあるため、対象のサイトは優先的に対応することをおすすめします。
参考にした公開情報
この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。