WordPressプラグイン「Jupiter X Core」に認証バイパスの脆弱性（CVE-2026-106013）

CVSS 9.8 CRITICAL 未ログインで悪用可能

対象	プラグイン Jupiter X Core 有効インストール約 70,000 件
影響バージョン	4.61.0 以下
修正版	4.62.0
CVE	CVE-2026-106013
種類	認証バイパス（Improper Authentication）
悪用される確率（EPSS）	0.55%（全脆弱性の上位 54%）
公表	2026年10月27日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

Jupiter X Core 4.61.0以前では、X(旧Twitter)ログイン機能の不具合により、ログインしていない第三者がサイト管理者などとしてログインできるおそれがあります。サイトを乗っ取られる危険性が非常に高い深刻な問題です。

想定される被害と条件

第三者がログインなしで管理者アカウントとしてサイトにログインできるおそれがあります
管理者権限を奪われると、サイトの改ざん、不正なユーザー追加、マルウェアの設置などにつながります
被害が起きる条件は、X(Twitter)ソーシャルログイン機能を有効にして設定していることです
特にXアプリ所有者のメールアドレスと同じアドレスのWordPressユーザー(多くは管理者)が狙われます

今日やること

Jupiter X Core を 4.62.0 以上に更新し、すぐに更新できない場合はX(Twitter)ソーシャルログイン機能を無効化するか、プラグインの停止を検討してください。

すぐに更新できない場合

Jupiter Xの設定でX(Twitter)ソーシャルログインを無効にし、保存済みのX APIキーやアクセストークンを削除してください。WAFでソーシャルログインのコールバック処理への通信を制限するのも有効です。

更新後に確認すること

管理画面「ユーザー」に見覚えのない管理者や新規ユーザーが追加されていないか確認する
「投稿」「固定ページ」「外観」「プラグイン」に不審な変更、見覚えのないプラグインやテーマが無いか確認する
セキュリティプラグインやサーバーのログで、管理者アカウントへの身に覚えのないログイン(日時・IPアドレス)が無いか確認する
念のため管理者のパスワードを変更し、全セッションからログアウトさせ、XアプリのAccess Tokenも再発行する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Jupiter X Core の現在の情報（WordPress.org、2026-11-02 取得）

最新版	4.62.0 修正版を含む
対応 WordPress	5.6 以上（検証済み 7.1.4）
最終更新	2026-10-22 4:39am GMT
有効インストール	70,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Jupiter X Core plugin for WordPress is vulnerable to Authentication Bypass via the Twitter/X Social Login handler in all versions up to and including 4.61.0. The vulnerability exists within the verify_twitter_callback function because after exchanging the visitor’s oauth_verifier for their access token, the handler never calls setOauthToken() to reassign the returned credentials to the TwitterOAuth client, causing the subsequent account/verify_credentials API call to remain signed with the site operator’s stored Access Token and Access Token Secret rather than the authenticating visitor’s token. This causes the X API to return the profile of the X application owner instead of the signing-in visitor, and the plugin then resolves and authenticates a WordPress account solely by matching that owner’s email address via wp_set_auth_cookie(), allowing unauthenticated attackers to gain authenticated access as the WordPress user whose email corresponds to the X app owner, who is typically the site administrator.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/1ad42de2-9ed1-4cf6-a031-22789be4cbe2?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。