CyberSecurityAction

脆弱性情報

GiveWP WordPressプラグインに最高深刻度のRCE脆弱性、未認証で悪用可能（CVE-2026-82222）

10万以上のサイトで使用されるWordPressプラグインGiveWP v4.16.7.1以前に、未認証の攻撃者がサーバーで任意コマンドを実行できる脆弱性が発見された。修正版4.16.7.2への緊急アップデートが必要である。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
GiveWP WordPressプラグインに最高深刻度のRCE脆弱性、未認証で悪用可能（CVE-2026-82222）

THREAT GAUGE算出基準

IMPACT（影響範囲）9.0
URGENCY（対応緊急度）8.5
EXPLOIT（悪用の容易さ）9.5

“CVSS 10.0（最高）・技術詳細公開済み・未認証悪用可能”

01 · Overview

ニュースの概要

WordPressの寄付管理プラグイン「GiveWP」（バージョン4.16.7.1以前）に、未認証の攻撃者がウェブサーバー上で任意のOSコマンドを実行できる最高深刻度の脆弱性（CVE-2026-82222、CVSS 10.0）が確認された。同プラグインは世界で10万件以上のインストール実績を持ち、非営利団体や宗教法人、教育機関など日本国内を含む広範な組織がNPO・寄付サイトで利用している。開発元は2026年8月27日に修正版4.16.7.2をリリースした。

本脆弱性はセキュリティ企業Patchstackの研究者が2026年7月28日に報告したもので、PHPオブジェクトインジェクションを起点にリモートコード実行（RCE）へと発展する複合的な攻撃チェーンである。影響を受けるバージョンは4.16.6から4.16.7.1であり、ただしレガシーな寄付フォーム（formBuilderSettings未設定）を含む場合に限られる。アップグレード済み環境やインポートした古いフォームを持つサイトも影響を受ける可能性がある。

修正版4.16.7.2では、寄付処理中のシリアライズデータの受け入れを遮断し、デシリアライズの複数ポイントでオブジェクト生成を制限している。また、すでにデータベースに保存済みのシリアライズオブジェクトのペイロードも削除される。なお、ユーザー登録アクション（give_action=user_register）がWordPressの登録設定を無視する問題は修正版でも残存するが、コード実行には至らなくなっている。

CVE番号
CVE-2026-82222
CVSSスコア
10.0（Critical）
影響製品
GiveWP ≤ 4.16.7.1
修正状況
4.16.7.2で修正済み（8月27日）
悪用状況
技術詳細・PoC公開済み

Patchstack社の技術分析に基づく。実際の野外での悪用（in-the-wild exploitation）は執筆時点では未確認だが、技術詳細が公開されているため速やかな対応が必要である。

02 · Analysis

詳細な原因解説

本脆弱性の根本原因は、GiveWPがPHPのシリアライズ（serialize/unserialize）機構を安全でない形で使用している点にある。具体的には、寄付処理フローにおいて攻撃者が制御可能なシリアライズオブジェクトをWordPressのセッションデータベース（wp_give_sessions）に書き込めてしまう。加えて、GiveWPにバンドルされたサードパーティライブラリ内にガジェットチェーン（PHPオブジェクトを連鎖させてコマンド実行に至るコードパス）が存在するため、悪意あるオブジェクトがデシリアライズされた際に任意のOSコマンドが実行される仕組みとなっている。

悪用に必要な前提条件として、攻撃者はまずターゲットサイトにアカウントを持つ必要がある。しかしGiveWPが公開している`give_action=user_register`というアクションがWordPressの「ユーザー登録を許可する」設定（users_can_register）を参照しないため、登録を無効にしているサイトでも攻撃者は自由にアカウントを作成できる。これにより実質的に未認証の攻撃者でも一連の攻撃を完結させることが可能となっている。

影響が広範に及ぶ構造的な理由は、GiveWPが寄付・ファンドレイジングという用途で非営利・公益団体を中心に10万以上のWordPressサイトで標準的に使用されている点にある。また攻撃に必要なレガシーフォームは旧バージョンからアップグレードした環境やフォームインポートを行った環境に自然と残存するため、実際の被害対象はPoCの活用後に急速に広がる可能性がある。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

プラグイン依存を代替・組み合わせる

Q. 寄付管理をGiveWPに依存しない、より安全な代替手段はあるか？

Substitute（代替）の視点では、GiveWPの代わりにStripeやSquareの公式ウィジェットを直接埋め込む方法がある。Combine（組み合わせ）では、寄付受付をサードパーティのSaaS（例：Donorbox）に完全委託し、自サイトのWordPress環境にはシリアライズデータが一切流入しない構成にする選択肢も検討に値する。いずれにせよプラグインのコードベースが肥大化するほど攻撃面が広がるため、機能を最小化したプラグイン構成を維持することが根本的な対策となる。

PHPインジェクション連鎖の構造

Q. なぜ単一の脆弱性でなく複数の問題が連鎖してRCEに至るのか？

WordPressエコシステムでは、コアのPHP環境・プラグイン本体・バンドルされたサードパーティライブラリが一体となって動作する。GiveWPのようなプラグインがサードパーティ製ライブラリを同梱する場合、そのライブラリに存在するガジェットチェーンが攻撃者に利用される。セキュリティチェーンは最も弱いリンクで破られるというシステム思考の原則が示すように、個々のコンポーネントが安全でも組み合わせによって新たなリスクが生まれる。依存関係の棚卸しと定期的なSCA（ソフトウェアコンポジション分析）が不可欠である。

アップデート最優先、その後ログ監視を行う

最優先すべきはGiveWPのバージョン4.16.7.2への更新であり、これを行わない限り他の対策は補完的な意味しか持たない。技術詳細がすでに公開されているため、悪用コードの実装は技術力の高くない攻撃者にも可能な状況にある。

次に優先すべきは、サーバーログで`give_action=user_register`への不審なPOSTを確認することである。アップデート適用前に悪用が行われていた場合、アカウント作成の痕跡がログに残る可能性がある。ファイル改ざん検知ツールによるWordPressコアファイルの整合性確認も推奨される。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のIT管理者です。自組織のWordPressサイトでGiveWPプラグインを使用しています。CVE-2026-82222の脆弱性（PHPオブジェクトインジェクションによるRCE）に対し、以下を実施してください：①現在インストールされているGiveWPのバージョン確認手順、②4.16.7.2へのアップデート手順、③アップデート後の動作確認チェックリスト、④ログで悪用痕跡を確認するSQLクエリ例。出力は[担当者]が上長に報告できる形式でまとめてください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

自組織の業種・業態

報告書の作成担当者名または部署名

キーワード

  • GiveWP
  • CVE-2026-82222
  • PHPオブジェクトインジェクション
  • WordPress
  • プラグイン更新

SOURCES · 参考情報源