30秒で判断
- 対応すべき人: WordPress で求人プラグイン「JobSearch（WP JobSearch）」を利用しているサイト運用者（3.2.0 以前）
- 対応不要な人: 当該プラグインを使用していない / すでに修正版へ更新済み
- 確認方法: WordPress 管理画面の「プラグイン」で JobSearch のバージョンを確認
概要
WordPress の求人サイト向けプラグイン「JobSearch（WP JobSearch）」の 3.2.0 以前に、未認証（Unauthenticated）で悪用可能な PHP オブジェクトインジェクション（安全でないデシリアライズ）が報告されました（CVE-2026-84834）。攻撃者が細工したデータをプラグインにデシリアライズさせることで、環境内に利用可能な gadget チェーン（他プラグインやテーマ、WordPress コア由来のクラス）が存在する場合、ファイルの読み書きや削除、任意コード実行など深刻な影響につながり得ます。
PHP オブジェクトインジェクションは単体では即座に被害が出ないケースもありますが、実運用の WordPress 環境では多数のプラグイン・テーマが同居しており、悪用可能な gadget が揃いやすいため、未認証で到達できる本件は高い深刻度（CVSS 9.8）と評価されています。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 9.8 |
| 深刻度 | Critical |
| CWE | CWE-502（信頼できないデータのデシリアライズ） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 想定される影響 | 機密性・完全性・可用性の広範な侵害 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| JobSearch (WP JobSearch) | esomob | <= 3.2.0 |
修正バージョンと回避策
- プラグインを 修正版へアップデートしてください（3.2.0 以前が対象）。ベンダーの最新版で解消状況を確認の上、適用してください。
- 直ちに更新できない場合は、当該プラグインの一時無効化や、WAF によるアクセス制限を検討してください。
関連リンク
データソース: NVD (NIST), Patchstack AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。