WordPressプラグイン「Essential Addons for Elementor」に情報漏えいの脆弱性（CVE-2026-110509）

CVSS 5.3 MEDIUM 未ログインで悪用可能

対象	プラグイン Essential Addons for Elementor （Essential Addons for Elementor – Popular Elementor Templates & Widgets）有効インストール約 1,000,000 件
影響バージョン	[*、6.8.7)
修正版	6.8.7
CVE	CVE-2026-110509
種類	情報漏えい（Exposure of Sensitive Information to an Unauthorized Actor）
悪用される確率（EPSS）	0.25%（全脆弱性の上位 83%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

Essential Addons for Elementor 6.8.7未満に、ログインしていない第三者がユーザー情報や設定情報など本来非公開のデータを取得できる脆弱性があります。改ざんや停止は起きませんが、漏れた情報が別の攻撃に悪用される恐れがあります。

想定される被害と条件

サイトに登録されたユーザーの情報（ユーザー名やメールアドレスなど）が、ログインしていない第三者に知られる可能性がある
プラグインやサイトの設定情報が外部に漏れ、別の攻撃の足がかりにされる可能性がある
漏れたユーザー名・メールアドレスを使ったパスワード総当たりやフィッシングメールの被害につながる恐れがある
プラグインが有効化されていれば、ログイン不要のため誰でも狙える状態になる

今日やること

Essential Addons for Elementor を 6.8.7 以上に更新し、すぐ更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

すぐ更新できない場合は、Essential Addons for Elementor を一時的に無効化するか、WAF（Wordfence等のセキュリティプラグインやサーバーのWAF）を有効にして不審なアクセスを遮断してください。

更新後に確認すること

管理画面「プラグイン」で Essential Addons for Elementor のバージョンが 6.8.7 以上になっていることを確認する
管理画面「ユーザー」一覧に見覚えのないユーザー、特に管理者権限のユーザーが追加されていないか確認する
セキュリティプラグインやサーバーのログで、ログイン失敗の急増や不審なアクセスが無いか確認する
念のため管理者アカウントのパスワードを変更し、可能なら二段階認証を設定する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Essential Addons for Elementor の現在の情報（WordPress.org、2026-11-02 取得）

最新版	6.8.8 修正版を含む
対応 WordPress	5.3 以上（検証済み 7.1.4）
最終更新	2026-10-28 11:26am GMT
有効インストール	1,000,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Essential Addons for Elementor – Popular Elementor Templates & Widgets plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to 6.8.7. This makes it possible for unauthenticated attackers to extract sensitive user or configuration data.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/5ad31a9a-d8be-4a68-bbdb-05e4f2c8ad38?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。