WordPressプラグイン「Newsletters」にCSRFの脆弱性（CVE-2026-116863）

CVSS 4.3 MEDIUM 未ログインで悪用可能修正版なし

対象	プラグイン Newsletters 有効インストール約 2,000 件
影響バージョン	4.18.2 以下
修正版	未修正
CVE	CVE-2026-116863
種類	CSRF（Cross-Site Request Forgery）
悪用される確率（EPSS）	0.18%（全脆弱性の上位 93%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

Newsletters 4.18.2以前では、一部機能で正規の操作かどうかの確認が不十分です。管理者が細工されたリンクを開くと、本人の意図しない設定変更などが実行されるおそれがあります。

想定される被害と条件

管理者の権限で、本人の意図しない操作（設定変更など）が実行されるおそれがある
被害が起きるのは、管理画面にログイン中の管理者が細工されたリンクやページを開いた場合
攻撃者自身はサイトにログインする必要がない
影響は改ざん（データ変更）に限られ、情報の直接的な流出やサイト停止は想定されていない

今日やること

Newsletters（newsletters-lite）は修正版が未公開のため、使用状況を確認し、不要なら停止・削除、必要なら修正版の公開まで管理者が不審なリンクを開かないよう周知してください。

すぐに更新できない場合

修正版が出るまでプラグインを停止するか、管理者は管理画面にログインしたまま不審なメールやメッセージのリンクを開かないようにしてください。作業後はこまめにログアウトし、WAFの導入も有効です。

更新後に確認すること

管理画面の「Newsletters」の各設定画面を開き、身に覚えのない設定変更がないか確認する
購読者リストやメーリングリスト、配信予定のニュースレターに不審な追加・変更・送信予約がないか確認する
「ユーザー」一覧に見覚えのない管理者アカウントが追加されていないか確認する
変更履歴を記録するプラグイン（アクティビティログ等）があれば、管理者による心当たりのない操作がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Newsletters の現在の情報（WordPress.org、2026-11-02 取得）

最新版	4.18.2
対応 WordPress	3.8 以上（検証済み 7.1.4）
最終更新	2026-10-20 12:10pm GMT
有効インストール	2,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Newsletters plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 4.18.2. This is due to missing or incorrect nonce validation on a function. This makes it possible for unauthenticated attackers to perform an unauthorized action via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/e1ae9d9e-fb79-4518-9336-f4b8fa3a0311?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。