WordPressプラグイン「OpenStation」に認可不備の脆弱性（CVE-2026-109592）

CVSS 4.3 MEDIUM

対象	プラグイン OpenStation （OpenStation – Admin Dashboard Notes, Custom Dashboard, AI Assistant & PWA）有効インストール約 1,000 件
影響バージョン	1.1.16 以下
修正版	1.1.17
CVE	CVE-2026-109592
種類	認証バイパス（Missing Authorization）
悪用される確率（EPSS）	0.35%（全脆弱性の上位 72%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

購読者などの低い権限でログインできる利用者が、他のユーザーのOpenStation上の配置情報（並び順やフォルダ等）を書き換えられる恐れがあります。さらに、関連する投稿のタイトル・URL・公開状態などが閲覧される可能性があります。

想定される被害と条件

他のユーザーのOpenStation上の表示位置・並び順・所属フォルダなどが勝手に変更される恐れがあります
下書きや非公開の投稿を含め、関連する投稿のタイトル・URL・公開状態が知られる可能性があります
悪用には、購読者以上の権限を持つアカウントでのログインが必要です
被害が出るのは、フォルダをゴミ箱に移したあとに中身の配置情報が残っている場合に限られます
会員登録を一般に開放しているサイトほどリスクが高くなります

今日やること

OpenStationプラグインを1.1.17以上に更新し、すぐに更新できない場合は停止・削除を検討してください。

すぐに更新できない場合

OpenStationプラグインを一時的に無効化してください。あわせて、「設定」>「一般」で「だれでもユーザー登録ができるようにする」をオフにし、不要な低権限アカウントを削除してください。

更新後に確認すること

管理画面の「ユーザー」一覧を開き、見覚えのない購読者などのアカウントが無いか確認する
OpenStationのデスクトップ画面を開き、各ユーザーのアイコン配置・フォルダ構成に身に覚えのない変更が無いか確認する
下書きや非公開の投稿について、外部に知られて困る内容のタイトルやURLが無いか見直す
ゴミ箱に入っているOpenStationのフォルダを確認し、不要なものは完全に削除する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

OpenStation の現在の情報（WordPress.org、2026-11-02 取得）

最新版	1.1.18 修正版を含む
対応 WordPress	6.0 以上（検証済み 7.1.4）
最終更新	2026-10-30 6:04pm GMT
有効インストール	1,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The OpenStation: Desktop Windows, Dock & Virtual Desktops for WP Admin plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.1.16. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to modify arbitrary other users’ placement rows (position, sort order, parent folder, and meta) and read serialized metadata — including title, permalink, and post status — of the entities those orphaned placements reference. Exploitation requires at least one orphaned placement to exist — a state produced naturally by the plugin’s own trash cascade, which marks a parent folder as trashed while leaving child placements’ parent_id intact — and the attacker must first self-enable OpenStation via the save-openstation AJAX endpoint, which requires only the ‘read’ capability held by every default WordPress role. This was also independently found by the OpenStation team.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/a62e499d-6520-4bad-963a-ff7619daa5f8?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。