WordPressプラグイン「Relevanssi – A Better Search」にXSSの脆弱性（CVE-2026-116522）

CVSS 7.2 HIGH 未ログインで悪用可能

何が起きるか

検索プラグインRelevanssiの4.28.5以前に、ログイン不要で悪意あるスクリプトをコメント経由で埋め込まれる脆弱性があります。特定の設定で検索結果から記事を開いた閲覧者のブラウザで、そのスクリプトが実行される恐れがあります。

想定される被害と条件

• 閲覧者のブラウザで不正なスクリプトが実行され、偽の画面表示や不正サイトへの誘導が起きる恐れがある
• ログイン中の管理者が該当ページを開くと、ログイン情報の悪用やサイト設定の改ざんにつながる可能性がある
• 被害が起きるのは、Relevanssiの「コメントをインデックスに含める」と「検索語のハイライト」の両方が有効な場合に限られる
• さらに、閲覧者がRelevanssiの検索結果のリンク（ハイライト用の情報付き）から個別ページを開いた場合にのみ発動する
• 攻撃者はログイン不要でコメントを投稿できるため、コメント欄を公開しているサイトは特に注意が必要

今日やること

Relevanssi – A Better Search を 4.28.6 以上に更新し、すぐに更新できない場合はコメントのインデックス化とハイライト機能を無効にするか、プラグインの停止を検討してください。

すぐに更新できない場合

Relevanssiの設定画面で「コメントのインデックス化」または「検索結果のハイライト」のいずれかを無効にしてください。あわせてコメントを承認制にし、WAFを導入済みであれば有効化しておくと安全性が高まります。

更新後に確認すること

• 管理画面「コメント」で、意味不明な記号や「script」などの文字を含む不審なコメントがないか確認し、あれば削除する
• 管理画面「ユーザー」で、身に覚えのない管理者アカウントが追加されていないか確認する
• 「設定」や「外観」「プラグイン」で、覚えのない変更や見知らぬプラグインの追加がないか確認する
• コメントを削除・修正した後、Relevanssiのインデックスを再構築して、検索結果に不審な内容が残っていないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Relevanssi の現在の情報 （WordPress.org、2026-11-02 取得）

技術的な詳細（修正差分の解析）

修正前後のコード（4.28.5 → 4.28.6）を WordPress.org から取得して差分を解析しました。特定の確度: 中。攻撃に使える手順は記載していません。

原因となった処理

• lib/init.php で relevanssi_highlight_comments オプションが有効な場合、WordPress の comment_text フィルターに relevanssi_highlight_in_docs が優先度 11 で登録され、コメント本文がハイライト処理の対象になっていた。
• relevanssi_highlight_in_docs は、検索結果パーマリンクに付与されるハイライト用パラメーターを持つ個別ページへのアクセス時に、本文中の検索語をマークアップで囲む形で HTML を再構成する。この処理をコメントに適用すると、WordPress 標準のコメント無害化（kses 等）を通過した後の文字列が加工される。
• ハイライト処理の過程でコメント内の文字列やエンティティが再解釈・再構成される際、出力前のエスケープや再サニタイズが不十分だった。そのため、無害化済みのコメント内容から実行可能なスクリプトを含む HTML が生成され得たと考えられる。
• コメント索引機能によって未認証ユーザーの投稿コメントも検索対象・ハイライト対象になる。このため、承認・公開されたコメントに仕込まれた内容が、ハイライト付きで閲覧した訪問者のブラウザ上で実行される蓄積型 XSS となっていた。
• 差分では、ハイライト関数内部のどの箇所でエスケープが崩れるかまでは示されていない。原因は『コメントへのハイライト適用経路そのもの』として特定される。

被害が起きる前提条件

• Relevanssi 4.28.5 以前が有効化されていること。
• 設定で『コメントのインデックス（comment indexing）』と『コメント内のハイライト（relevanssi_highlight_comments）』の両方が有効になっていること。
• サイトで未認証ユーザーからのコメント投稿を受け付けており、そのコメントが公開状態になり得ること。
• 訪問者が Relevanssi の検索結果リンク（ハイライト用パラメーター付きパーマリンク）から個別投稿・ページにアクセスすること。管理者がアクセスした場合は影響が大きくなる。

修正版での変更

• lib/init.php から comment_text フィルターへの relevanssi_highlight_in_docs の登録が削除された。オプション値に関係なく、コメント本文にはハイライト処理が適用されなくなり、脆弱な経路が遮断された。
• lib/tabs/display-ui-tab.php で『Highlight terms in comments』の設定項目がコメントアウトされ、管理画面から有効化できなくなった（脆弱性対策として機能を一時的に無効化）。
• バージョンが 4.28.6 に更新された。あわせて lib/didyoumean.php では、空または 2 文字未満のトークンをスキップする改善（XSS とは直接関係しない変更）が加えられた。
• 運営者向け対応: 4.28.6 以降へ更新してください。直ちに更新できない場合は、コメントハイライト機能を無効化したうえで、既存の公開コメントに不審な HTML がないか確認することを推奨します。

主な修正ファイル: lib/init.php, lib/tabs/display-ui-tab.php, relevanssi.php, lib/didyoumean.php

原文（Wordfence Intelligence）