30秒で判断
対応すべき人
- WordPressプラグイン「Limit Login Attempts Security」（3.4.1より前）を導入しているサイト運営者
対応不要な人
- 「Limit Login Attempts Security」プラグインを導入していない
- すでに3.4.1以降にアップデート済み
確認コマンド
# WordPress管理画面
# プラグイン > インストール済みプラグイン で
# "Limit Login Attempts Security" のバージョンを確認
概要
本脆弱性は、WordPressプラグイン「Limit Login Attempts Security」の二要素認証（2FA）処理において、2FAステップが実際に成功したかどうかの確認が不十分であることに起因します。このプラグインは、2FAステップの構築に失敗した場合でもそれを「成功」として扱い、ログインを完了させてしまいます。すでに対象ユーザーのパスワードを知っている攻撃者が、特定のリクエストヘッダーを送信してこのステップを意図的に破綻させることで、2FAを回避できる可能性があります。CVE-2026-118201と同じプラグインの別の不備であり、2FAによる保護が実質的に無効化される点が共通しています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.5 |
| Severity | HIGH |
| CVSSバージョン | 3.1 |
| CWE | CWE-287（不適切な認証） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Limit Login Attempts Security（WordPressプラグイン） | - | < 3.4.1 |
修正バージョンと回避策
プラグイン提供元は3.4.1で本問題を修正しています。3.4.1より前を利用している場合は、速やかに3.4.1以降へのアップデートを推奨します。アップデートが難しい場合は、対象ユーザーのパスワードを変更する、またはログインフローの異常なリクエストを監視・制限することが回避策として考えられます。
関連リンク
- NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-118202
- WPScan: https://wpscan.com/vulnerability/b2776c0c-7542-487d-976f-1ea3a646517f/
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。