WordPressプラグイン「Database Cleaner」に任意テーブル削除の脆弱性（CVE-2025-8574）

CVSS 8.7 HIGH

対象	プラグイン Database Cleaner: Cleanup, Optimization & Repair 有効インストール約 10,000 件
影響バージョン	1.4.7 以下
修正版	1.4.8
CVE	CVE-2025-8574
種類	その他（Improper Access Control）
悪用される確率（EPSS）	0.37%（全脆弱性の上位 70%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

Database Cleaner 1.4.7以前では、削除できるデータベースのテーブルが制限されていません。管理者権限を持つ人物が、WordPress本体の重要なテーブルを削除できるおそれがあります。

想定される被害と条件

WordPress本体のテーブル（投稿・ユーザー・設定など）が削除され、サイトが表示されなくなるおそれがあります
投稿や固定ページ、会員情報などのデータが失われるおそれがあります
悪用には管理者権限でのログインが必要です。管理者アカウントの乗っ取りや、悪意ある管理者がいる場合に危険です
正規の管理者が操作を誤って重要なテーブルを消してしまう可能性もあります

今日やること

Database Cleanerを1.4.8以上に更新し、未修正のままなら停止・削除を検討してください。

すぐに更新できない場合

更新するまではプラグインを無効化し、データベースのバックアップを取得してください。あわせて管理者アカウントを必要最小限に絞り、パスワードを強化してください。

更新後に確認すること

サイトの表示と管理画面の「投稿」「固定ページ」「ユーザー」「設定」に、データの欠落や異常がないか確認する
「ユーザー」画面で、見覚えのない管理者アカウントがないか確認する
サーバー管理画面（phpMyAdminなど）で、WordPressの標準テーブル（wp_posts、wp_users、wp_options など）が揃っているか確認する
異常があれば、事前に取得したバックアップから復元する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Database Cleaner: Cleanup, Optimization & Repair の現在の情報（WordPress.org、2026-11-02 取得）

最新版	1.4.8 修正版を含む
対応 WordPress	6.0 以上（検証済み 7.1.4）
最終更新	2026-10-30 6:41am GMT
有効インストール	10,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Database Cleaner plugin for WordPress is vulnerable to arbitrary table deletion in all versions up to, and including, 1.4.7. This is due to a lack of restriction on database tables that can be deleted. This makes it possible for authenticated attackers, with Administrator-level access and above, to delete core WordPress tables.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/22d6aa93-b265-41eb-9be9-cd066292f2ea?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。