WordPressプラグイン「VikRentCar Car Rental Management System」にCSRFの脆弱性（CVE-2026-111120

CVSS 8.8 HIGH 未ログインで悪用可能

対象	プラグイン VikRentCar Car Rental Management System 有効インストール約 4,000 件
影響バージョン	1.4.8 以下
修正版	1.4.9
CVE	CVE-2026-111120
種類	CSRF（Cross-Site Request Forgery）
悪用される確率（EPSS）	0.32%（全脆弱性の上位 76%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

管理者が細工されたリンクを開くと、プラグインのテンプレートファイルに不正なプログラムを書き込まれる恐れがあります。その結果、サーバー上で任意のコードが実行され、サイトが乗っ取られる可能性があります。

想定される被害と条件

サーバー上で任意のプログラムが実行され、サイトが乗っ取られる恐れがある
顧客情報や予約データなどが盗まれる、改ざんされる恐れがある
マルウェアの設置やスパム送信など、サイトが攻撃の踏み台にされる恐れがある
被害が起きる条件は、ログイン中の管理者が攻撃者の用意したリンクやページを開くこと
攻撃者はログイン不要だが、管理者の操作がなければ攻撃は成立しない

今日やること

VikRentCar Car Rental Management System を 1.4.9 以上に更新し、すぐに更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新するまでは、管理者がログインしたまま不審なメールやメッセージ内のリンクを開かないよう徹底してください。作業後は管理画面からログアウトし、可能であればWAFを導入するか、プラグインを一時停止してください。

更新後に確認すること

保守担当者に依頼し、プラグインフォルダ内のテンプレートファイル（例: site/helpers/email_tmpl.php）に見覚えのない記述が追加されていないか確認する
サーバー上で最近更新された不審なPHPファイルや、見覚えのないファイルがないか確認する
管理画面の「ユーザー」で、知らない管理者アカウントが追加されていないか確認する
予約確認メールやPDFの内容がおかしくないか確認し、異常があれば管理者パスワードを変更する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

VikRentCar Car Rental Management System の現在の情報（WordPress.org、2026-11-02 取得）

最新版	1.4.11 修正版を含む
対応 WordPress	4.7 以上（検証済み 7.1.4）
最終更新	2026-10-27 3:04pm GMT
有効インストール	4,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The VikRentCar Car Rental Management System plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.4.8. This is due to missing or incorrect nonce validation on the condtext_update_tmpl function. This makes it possible for unauthenticated attackers to write arbitrary PHP code to the plugin’s executable template files such as site/helpers/email_tmpl.php, which are later include()d by loadEmailTemplate() and loadPdfTemplate(), achieving remote code execution on the server via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. The injected PHP payload bypasses sanitization because the plugin’s own __PHP_OPEN__/__PHP_CLOSE__ placeholder expansion and cleanPHPSourceCode() logic explicitly reverse both sanitize_text_field filtering and saveHTML() HTML-encoding, restoring a literal payload to live PHP before it is written to disk. Successful exploitation additionally requires an action by an administrator — the attacker cannot trigger the vulnerability on their own.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/36f84246-6658-407a-88dd-4b99a784e682?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。