30秒で判断
- 対応すべき人: WordPressプラグイン「Advanced IP Blocker」8.13.13以前を使用し、2FA機能を有効にしている方
- 対応不要な人: Advanced IP Blockerを使用していない、または2FA機能を有効にしていない方
- 確認コマンド: WordPress管理画面のプラグイン一覧で「Advanced IP Blocker」のバージョンを確認
概要
CVE-2026-104732 は、WordPressプラグイン「Advanced IP Blocker」の8.13.13以前に存在する認証バイパスの脆弱性です。
このプラグインが提供する2段階認証（2FA）のログイン処理では、handle_login_action()が1段階目のパスワード認証を完了したかどうかをサーバー側で確認していません。さらに、エラー時の処理で誰でも使える有効なnonceが未認証のまま発行されてしまうため、対象ユーザーのuser_idが分かれば、未認証の攻撃者がTOTPコード（6桁）を総当たりで試行し、試行回数の制限やロックアウトもないまま、2FA付きの管理者アカウントを含む対象アカウントを完全に乗っ取れる可能性があります。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 認証 | 不要（未認証で実行可能） |
| 前提 | 対象アカウントのuser_idが判明していること、2FA機能が有効であること |
| 影響 | アカウント乗っ取り（管理者を含む） |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| Advanced IP Blocker（WordPressプラグイン） | 8.13.13以前 |
修正バージョンと回避策
- プラグイン提供元の更新情報を確認し、修正版が公開されたら速やかにアップデートしてください。
- 修正版の適用まで、2FA機能の一時的な無効化や、ログイン試行回数の外部制限（WAF等）を検討してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。