WordPressプラグイン「NextGEN Gallery」にリモートコード実行の脆弱性（CVE-2026-76012）

CVSS 7.5 HIGH

対象	プラグイン Photo Gallery, Sliders, Proofing and Themes （Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery）有効インストール約 300,000 件
影響バージョン	4.4.1 以下
修正版	4.5.0
CVE	CVE-2026-76012
種類	リモートコード実行（Unrestricted Upload of File with Dangerous Type）
悪用される確率（EPSS）	0.83%（全脆弱性の上位 42%）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

NextGEN Gallery 4.4.1以前では、ログイン済みの一部ユーザーがサーバー上で任意のプログラムを実行できる恐れがあります。サイト改ざんや情報流出につながる重大な問題です。

想定される被害と条件

サーバー上で不正なプログラムが実行され、サイトの改ざんやマルウェア設置が行われる恐れがある
データベースや顧客情報など、サーバー内の情報が盗まれる恐れがある
悪用には、サイトにログインでき、かつ既存のNextGENギャラリーの作成者として登録されているアカウントが必要
外部の人にアカウントを発行しているサイトや、パスワードが漏れたアカウントがある場合に危険性が高まる

今日やること

NextGEN Gallery を 4.5.0 以上に更新し、すぐに更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新できるまでプラグインを停止するか、ギャラリーの作成者となっている管理者以外のアカウントを一時的に無効化・権限縮小してください。

更新後に確認すること

管理画面「ユーザー」で、見覚えのないアカウントや権限が変わったアカウントがないか確認する
「ギャラリー」画面で、不審なギャラリーや作成者・保存先が変更されたギャラリーがないか確認する
保守業者に依頼し、wp-content 内（特にギャラリーやテンプレートのフォルダ）に「.php」を含む不審なファイルがないか調べてもらう
サイト表示に見覚えのない改ざんや、不審なリダイレクトがないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Photo Gallery, Sliders, Proofing and Themes の現在の情報（WordPress.org、2026-11-02 取得）

最新版	4.5.5 修正版を含む
対応 WordPress	5.5.4 以上（検証済み 7.1.4）
最終更新	2026-10-29 7:39pm GMT
有効インストール	300,000+
リンク	WordPress.org のページ　公式サイト

技術的な詳細（修正差分の解析）

修正前後のコード（4.4.1 → 4.5.0）を WordPress.org から取得して差分を解析しました。特定の確度: 中。攻撃に使える手順は記載していません。

原因となった処理

Lightroom 連携の gallery_edit エンドポイントの認可が不十分でした。対象ギャラリーの『保存済み作成者』であることだけを確認しており、NextGEN の管理権限など本来必要な権限を検証していませんでした。
同エンドポイントがリクエスト値をギャラリーエンティティへそのまま一括代入（マスアサインメント）していました。そのため、本来は管理者だけが変えるべきギャラリー保存先パス（path 列）まで書き換えられる状態でした。
画像取り込み処理（C_Gallery_Storage::import_image_file 系）の拡張子検証が、許可拡張子を末尾一致させる正規表現だけでした。さらに sanitize_filename_for_db() は「-jpg」等を「.jpg」へ戻すだけで、ファイル名中の PHP 実行可能拡張子を無害化していませんでした。
テンプレート解決（legacy_render 経由）側の拡張子チェックが部分文字列一致でした。そのため、サニタイズ後の『.php_』を含むファイル名もテンプレートとして受け入れられていました。結果として、登録済みテンプレートディレクトリに置かれたアップロードファイルが PHP として読み込まれ得ました。
DB 由来のファイル名やパスに対するディレクトリ外参照（../）の封じ込め検証がありませんでした。またオートローダーがクラス名の形式を検証せず、src/ 外のファイルを require し得ました。これらも被害拡大の要因でした。

被害が起きる前提条件

NextGEN Gallery 4.4.1 以前が有効化されていること。
攻撃者が、ギャラリー作成などが可能なカスタム権限レベル以上のアカウントでログインできること。
そのアカウントが、既存の NextGEN ギャラリーの少なくとも 1 つで『作成者』として保存されていること。
Lightroom 連携用の gallery_edit エンドポイントおよび画像アップロード機能が利用可能な状態であること（攻撃難度は高く、CVSS は AC:H）。

修正版での変更

拡張子検証を共通の許可リスト判定 is_allowed_image_extension() に統一しました（拡張子なしは拒否）。さらに Security::neutralize_executable_extensions() でファイル名中の PHP 実行可能拡張子を無害化するようになりました。
画像パス・クローン・サムネイル生成の各経路に検証を追加しました。is_path_within_gallery_dir / contain_path / is_safe_generated_image_path / has_php_executable_extension により、ギャラリーディレクトリ外や PHP 拡張子を含む書き込み・参照を拒否し、拒否内容をログに記録します。
オートローダーで、PHP クラス名の形式に合致しない名前を拒否するようにしました。これにより、パス走査で任意ファイルが require されるのを防ぎます。
ZIP 展開時に許可されない拡張子のエントリを除外して記録し、展開ディレクトリを必ず削除するよう変更しました。（gallery_edit の認可強化と一括代入の制限は、省略された差分部分で行われていると推定されます。）

主な修正ファイル: products/photocrati_nextgen/modules/legacy_compat/package.module.legacy_compat.php, nggallery.php, products/photocrati_nextgen/modules/nextgen_addgallery_page/package.module.nextgen_addgallery_page.php, src/DataMapper/TableDriver.php, src/DataMapper/DriverBase.php

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 4.4.1 via the legacy_render function. This is due to broken authorization on the Lightroom gallery_edit endpoint combined with mass assignment of gallery path and unrestricted file upload into a registered template directory, whose extension check uses a substring match that accepts sanitized .php_ filenames as valid templates. This makes it possible for authenticated attackers, with custom-level access and above, to execute code on the server. Exploitation requires the authenticated attacker to be the stored author of at least one existing NextGEN gallery, as ownership of that gallery is the sole authorization check gating the mass-assignment and upload steps.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/f8b09972-4d2d-4ab3-bc12-7aba32aefd49?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。