WordPressプラグイン「Page and Post Restriction」に認証バイパスの脆弱性（CVE-2026-118194）

CVSS 6.5 MEDIUM 未ログインで悪用可能

対象	プラグイン Page and Post Restriction 有効インストール約 1,000 件
影響バージョン	1.6.1 以下
修正版	1.6.2
CVE	CVE-2026-118194
種類	認証バイパス（Improper Authentication）
悪用される確率（EPSS）	0.34%（全脆弱性の上位 72%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

バージョン1.6.1以前では、ログイン中の利用者が悪意あるサイトを閲覧すると、本来その利用者しか見られない限定公開・非公開の投稿やプロフィール情報が外部に読み取られる恐れがあります。改ざんやサイト停止は起きませんが、情報漏えいにつながります。

想定される被害と条件

ログイン中の管理者や会員が攻撃者の用意したページを開くと、権限で制限された投稿・固定ページの内容が外部に漏れる
ログイン中の利用者のプロフィール情報（ユーザー名・メールアドレス等の登録情報）が読み取られる可能性
閲覧権限のある非公開コメントや下書き等の内容が外部に取得される恐れ
会員限定コンテンツを提供しているサイトでは有料・限定情報の流出につながる

今日やること

Page and Post Restriction を 1.6.2 以上に更新し、すぐに更新できない場合は停止・削除を検討してください。

すぐに更新できない場合

更新までの間はプラグインを停止するか、WAFやセキュリティプラグインでREST API（/wp-json/）への外部サイトからのアクセスを制限してください。管理者はログイン中に不審なリンクやサイトを開かないよう注意してください。

更新後に確認すること

プラグイン画面で Page and Post Restriction のバージョンが 1.6.2 以上になっていることを確認する
限定公開・非公開にしている投稿やページの内容が外部（検索結果やSNS等）に出回っていないか確認する
サーバーのアクセスログで /wp-json/ への外部サイト経由の不審なアクセスが集中していないか確認する（必要に応じて保守業者へ依頼）
念のため管理者のパスワード変更と、ユーザー一覧に見覚えのないアカウントがないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Page and Post Restriction の現在の情報（WordPress.org、2026-11-02 取得）

最新版	1.6.2 修正版を含む
対応 WordPress	3.7 以上（検証済み 7.1.4）
最終更新	2026-10-29 3:28am GMT
有効インストール	1,000+
リンク	WordPress.org のページ

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Page and Post Restriction plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.6.1 This is due to the `papr_restrict_page_post_rest_api()` function, hooked on `rest_pre_dispatch`, re-authenticating the current user from the `wordpress_logged_in` cookie via `wp_set_current_user()` for any GET or HEAD REST request where the current user is 0, without verifying a REST nonce — silently undoing the nonce-zeroing that WordPress core’s `rest_cookie_check_errors()` performs on cookie-authenticated requests that lack an `X-WP-Nonce` header or `_wpnonce` parameter. Combined with WordPress’s permissive REST CORS behavior — which echoes the request `Origin` and sets `Access-Control-Allow-Credentials: true` — this allows an unauthenticated attacker to read REST API GET responses as a logged-in victim, exposing role-restricted and private post/page content, victim user profile data via `/wp-json/wp/v2/users/me`, and comments the victim is authorized to see. This requires the attacker to lure a logged-in user into visiting an attacker-controlled page that issues credentialed cross-origin `fetch` requests against the target site’s REST API; no nonce or further victim interaction beyond the page visit is needed.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/2785a4e1-64f3-4b20-b0b3-7030bd88438c?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。