WordPressプラグイン「Rank Math SEO」にリモートコード実行の脆弱性（CVE-2026-1928）

CVSS 8.8 HIGH

何が起きるか

Rank Math SEO 1.0.276以前に深刻な欠陥があり、寄稿者以上の権限を持つユーザーがサーバー上で任意のプログラムを実行できる恐れがあります。サイトの改ざんや乗っ取りにつながる可能性があります。

想定される被害と条件

• 攻撃者がサーバー上に不正なファイル（バックドア）を設置し、サイトを遠隔操作する恐れがあります
• ページの改ざんや、不正サイトへの転送が仕込まれる可能性があります
• データベース内の会員情報・問い合わせ内容などが盗まれる可能性があります
• 悪用には「寄稿者」以上の権限を持つアカウントが必要です。ユーザー登録を公開しているサイトや、外部の寄稿者がいるサイトは特に危険です

今日やること

Rank Math SEOを1.0.277以上に今日中に更新し、すぐに更新できない場合はプラグインの一時停止を検討してください。

すぐに更新できない場合

更新できるまでRank Math SEOプラグインを停止してください。あわせて、不要な寄稿者以上のアカウントを削除し、新規ユーザー登録を一時的に無効化してください。

更新後に確認すること

• 管理画面の「ユーザー」一覧で、見覚えのないアカウントや権限が変更されたアカウントがないか確認する
• サーバーのwp-content/uploadsフォルダに、拡張子が.phpなどの不審なファイルが置かれていないか確認する（不明な場合は保守担当に依頼）
• 「投稿」「固定ページ」に身に覚えのない変更や、不審なリンク・転送が入っていないか確認する
• 念のため全管理者のパスワードを変更し、セキュリティプラグイン等でマルウェアスキャンを実施する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Rank Math SEO の現在の情報 （WordPress.org、2026-11-02 取得）

技術的な詳細（修正差分の解析）

修正前後のコード（1.0.276 → 1.0.277）を WordPress.org から取得して差分を解析しました。特定の確度: 高。攻撃に使える手順は記載していません。

原因となった処理

• updateMeta REST エンドポイントが使う includes/rest/class-shared.php のスキーマ削除処理に問題がありました。get_metadata_by_mid() はメタ値をすでに復元済みの状態で返しますが、修正前のコードはその値にもう一度 maybe_unserialize() をかけていました（二重デシリアライズ）。
• WordPress は、シリアライズ形式に見える文字列を保存するとき、さらにもう一段シリアライズして保存します。二重デシリアライズがあると、本来は単なる文字列として扱われるべき利用者入力が PHP オブジェクトとして復元されてしまい、PHP Object Injection が成立します。
• 同じファイルのスキーマ更新処理では、リクエストで指定された schema- のメタ ID がどのオブジェクトの所有かを確認していませんでした。そのまま update_metadata_by_mid() に渡していたため、編集権限を持つ投稿以外のメタ行も書き換えられる状態でした。
• includes/rest/class-post.php のターム向け権限チェックは、許可タクソノミーかどうかしか確認しておらず、edit_terms 権限を見ていませんでした。このため寄稿者などの低権限ユーザーでも updateMeta 系の処理に到達しやすくなっていました。
• サイト内（WordPress 本体や他プラグイン）に、デシリアライズ時に危険な処理を起こすクラス（POP チェーン）が存在する場合、注入されたオブジェクトを起点に uploads ディレクトリへの任意ファイル書き込み、つまりリモートコード実行につながります。

被害が起きる前提条件

• Rank Math SEO 1.0.276 以前が有効化されていること。
• 攻撃者が寄稿者（Contributor）以上の権限を持つアカウントでログインでき、WordPress REST API（rankmath/v1 の updateMeta 系ルート）にアクセスできること。
• RCE まで至るには、利用可能な POP チェーンを持つクラスが読み込まれていて、PHP から uploads ディレクトリに書き込めて実行もできる構成であること。
• 不特定の利用者を寄稿者として受け入れている、またはアカウントが乗っ取られているなど、低権限アカウントが攻撃者の手に渡り得る運用であること。

修正版での変更

• スキーマ削除処理から二重の maybe_unserialize() を削除し、get_metadata_by_mid() が返した値をそのまま使うように変更されました。これによりオブジェクト注入の入口が塞がれました。
• スキーマ更新時に DB::get_schemas() で対象オブジェクトが所有するスキーマ一覧を取得し、指定されたメタ ID が含まれない場合は処理しないよう、所有権チェックが追加されました。DB::get_schemas() には usermeta 用のキー対応も追加されています。
• Rest_Helper に can_edit_post()、can_edit_term()、can_edit_object() が新設され、権限判定が共通化されました。ターム更新時の edit_terms 権限確認、管理バー AJAX でのオブジェクト単位の権限確認、Abilities API の各機能での投稿編集権限やパスワード保護の確認が追加・強化されています。
• 対策として 1.0.277 以降へ速やかに更新してください。あわせて、寄稿者以上のアカウントの棚卸しと、uploads ディレクトリ内に不審な PHP ファイルがないかの点検を推奨します。

主な修正ファイル: includes/rest/class-shared.php, includes/rest/class-rest-helper.php, includes/rest/class-post.php, includes/modules/schema/class-db.php, includes/admin/class-admin-bar-menu.php

原文（Wordfence Intelligence）