WordPressプラグイン「Ak Framework」に権限昇格の脆弱性（CVE-2026-105894）

CVSS 8.8 HIGH 未ログインで悪用可能

対象	プラグイン Ak Framework
影響バージョン	2.9.8 以下
修正版	2.9.9
CVE	CVE-2026-105894
種類	権限昇格（Improper Privilege Management）
悪用される確率（EPSS）	0.32%（全脆弱性の上位 75%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

Newsyテーマに同梱されるAk Framework 2.9.8以前では、ログインしていない第三者でもサイト設定を書き換えられます。その結果、攻撃者が管理者権限を得てサイトを乗っ取るおそれがあります。

想定される被害と条件

Ak Framework 2.9.8以前が有効な場合、ログインなしでWordPressの設定を書き換えられる
ユーザー登録の許可や新規ユーザーの権限が変更され、攻撃者が管理者アカウントを作成できる
管理者権限を奪われると、サイト改ざん、不正なプラグイン設置、マルウェア配置が行われる可能性がある
会員情報や問い合わせ内容などサイト内の個人情報が漏えいするおそれがある

今日やること

Ak Frameworkを2.9.9以上に更新し、更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

すぐ更新できない場合は、Ak Frameworkを一時的に無効化してください。あわせて、WAFで外部からの不審な管理用リクエストを遮断し、「設定」→「一般」でユーザー登録の許可がオフであることを確認してください。

更新後に確認すること

「設定」→「一般」で「だれでもユーザー登録ができるようにする」がオフになっているか確認し、「新規ユーザーのデフォルト権限グループ」が「購読者」などの意図した値か確認する
「ユーザー」一覧で、身に覚えのない管理者や最近登録された不審なユーザーがいないか確認する
「プラグイン」「外観」で見覚えのないプラグイン・テーマの追加や、投稿・固定ページの改ざんがないか確認する
「設定」→「一般」で、サイトURLや管理者メールアドレスが意図せず変更されていないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Ak Framework plugin for WordPress, included in the Newsy – Viral News & Magazine WordPress Theme, is vulnerable to Privilege Escalation in all versions up to, and including, 2.9.8. This is due to missing capability checks in the ajax_refresh_nonce and ak_admin_ajax handlers before passing attacker-controlled option names and values to update_option(). This makes it possible for unauthenticated attackers to update arbitrary WordPress options including users_can_register and default_role to escalate privileges to administrator by enabling user registration with administrator as the default role.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/d9f99ab9-eb22-4766-81f2-647af1229815?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。