CyberSecurityAction

脆弱性情報

WordPress最多販売テーマAvadaにCVSS 9.8のゼロクリックRCE——100万サイト以上が対象

6段階の脆弱性チェーンで構成されるCVE-2026-18431は、認証なしでPHPコードを実行可能。Avadaテーマを利用するサイトはFusion Builderも必ず同梱されており事実上全サイトが対象。AI（Wordfence Argus）が2時間で発見し、PoCも作成済み。即時アップデートを。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
WordPress最多販売テーマAvadaにCVSS 9.8のゼロクリックRCE——100万サイト以上が対象

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）8.5
EXPLOIT（悪用の容易さ）8.0

“CVSS 9.8・100万超サイト対象・PoCあり・未認証RCE”

01 · Overview

ニュースの概要

WordPressの有料テーマ中で最も販売実績のあるAvadaテーマ（100万件超）に、認証なしで任意のPHPコードをサーバー上で実行できる重大脆弱性CVE-2026-18431が発見された。CVSSスコアは9.8（Critical）であり、Avadaに必ず付属するFusion Builderプラグインとの組み合わせで6段階の攻撃チェーンが成立する。Wordfenceのセキュリティ研究者はAIフレームワーク「Argus」を用いて約2時間でPoCを含む完全な技術詳細を特定しており、早期のアップデートが強く推奨される。

CVE-2026-18431はAvadaテーマ7.16以前およびFusion Builder 3.16以前に影響する。Wordfence（Defiant社）の研究チームが8月26日に公開した分析によると、本脆弱性は認可制御の不備・入力値バリデーション不足・信頼境界の誤設定・ファイルハンドリングの制限回避など6種類のセキュリティ上の欠陥を特定の順序で連鎖させることで完全なPHPコード実行（RCE）につながる攻撃チェーンを構成する。

攻撃の概要は次のとおりである。①認証なしのリクエストで攻撃者制御の入力を公開エンドポイント経由で注入する、②その入力を通常は認証済みユーザー向けの機能に渡す、③特権コンポーネントを本来の文脈外で呼び出す、④リクエストデータで信頼済み状態を操作する、⑤十分に保護されていない管理操作にアクセスする、⑥ファイルの書き込み内容・場所に関する制限をバイパスする——という流れで任意PHPファイルをサーバー上に配置・実行できる。

Avadaテーマを使用するサイトではFusion Builderが必須プラグインとして同梱インストールされるため、「Avadaを使用するすべてのサイトが脆弱」と研究者は明言している。開発元ThemeFusionはWordfenceからの報告（8月5日）を受けて8月10日に認識し、Avada 7.16.1およびFusion Builder 3.16.1で修正を施した。自動更新を有効にしていないサイトは手動での更新が必要である。

CVE番号
CVE-2026-18431
CVSSスコア
9.8（Critical）
影響製品
Avada ≤7.16 / Fusion Builder ≤3.16
影響サイト数
100万件超（全Avadaサイト）
攻撃条件
未認証・ゼロクリック
修正バージョン
Avada 7.16.1 / Fusion Builder 3.16.1

Wordfence調査（2026-08-26公開）に基づく。詳細なPoCコードは管理者のアップデート猶予のため非公開。発見にはWordfence Argus（AIフレームワーク）を使用。

02 · Analysis

詳細な原因解説

CVE-2026-18431の根本原因は、AvadaテーマおよびFusion Builderにおける複数のセキュリティ欠陥が連鎖した多段階の脆弱性チェーンにある。起点となるのは「認可制御の不備（Broken Access Control）」であり、認証なしの攻撃者が本来は認証済みユーザーのみアクセス可能なAPIエンドポイントまたはAJAXハンドラに細工されたリクエストを送信できる状態にある。PHPで実装されたWordPressプラグインは、リクエストを受け付けるnonce（ワンタイムトークン）の検証が不十分な場合、外部から任意のパラメータを注入できる。

次に「信頼境界の誤設定（Trust Boundary Violation）」が連鎖する。Fusion BuilderはAvadaテーマのページビルダー機能と深く統合されており、一方のコンポーネントが他方の「特権的な」内部操作を呼び出す際に、呼び出し元の認証状態の検証が省略されている。このため、認証されていない外部リクエストの入力値が、内部の管理者向け機能を経由して処理される。

最終段階の「ファイルハンドリング制限のバイパス」がRCEを完成させる。WordPressのメディアアップロードやページビルダーのインポート機能などで利用される内部ファイル操作APIが、想定外の経路から呼び出されることで、拡張子・保存先のバリデーションを回避してPHPファイルをWebサーバーのドキュメントルート配下に書き込める。設置されたPHPファイルはウェブからアクセス可能であるため、攻撃者は任意のPHPコードをサーバー権限で実行できる。Avada+Fusion Builderのような大型テーマはコード量が多く内部コンポーネント間の信頼関係が複雑であるため、こうした多段チェーン型の脆弱性が生まれやすい構造を持つ。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

AIによる脆弱性発見が攻撃側にも波及する現実

Q. 防御側AIが2時間でPoCを作れるなら、攻撃者AI も同じことができるか？

Wordfenceが本件でArgusというAIフレームワークを使い「6段階の脆弱性チェーン＋PoC」を約2時間で完成させたことは、防御側の能力向上を示すと同時に攻撃側の能力向上についても示唆する。AIを活用した脆弱性リサーチは、専門知識を持つ人間が数週間かけて行っていた作業を劇的に短縮する。攻撃者グループもこの恩恵を受けており、脆弱性公表から悪用開始までの「ウィンドウ（猶予期間）」がさらに短縮されていく。従来「公表後数日は安全」という暗黙の前提が崩れつつある現在、パッチ適用のSLA（目標達成期間）を「数週間」から「数日以内」へ見直す必要がある。

テーマ依存関係がもたらす集中リスク

Q. Avadaのような「必須プラグイン同梱テーマ」はなぜ脆弱性の影響範囲が広いのか？

WordPressエコシステムでは、テーマが複数の機能プラグインに依存する構造が一般的である。Avada+Fusion Builderのように「テーマとプラグインが一体化したフレームワーク」では、一方に脆弱性があれば他方が必ず同梱されるため、影響範囲の計算が「テーマのインストール数＝全対象数」となる。100万件以上の販売実績は通常の人気プラグインをはるかに上回る広がりであり、大規模マスウェブスキャン（Webサイトの脆弱性を自動探索する攻撃）の標的として非常に魅力的である。テーマ選定時の依存関係の複雑さはセキュリティリスク評価の重要なファクターであるべきだが、現状のWordPress運用では見落とされることが多い。

アップデートを最優先に、補完策と並行して進める

本脆弱性の対応は「まずアップデート、同時並行で痕跡確認」が正しい優先順序である。Wordfenceが技術詳細の完全公開を保留しているため、攻撃が本格化する前の猶予期間は限られているが存在する。アップデートそのものは数分で完了するため、変更管理の手続きを省略してでも即日実施する価値がある。

アップデート後に既存コンテンツ・デザインが崩れていないかの動作確認は必要だが、脆弱なバージョンを動作させ続けることのリスクの方が遥かに大きい。WAFルールの追加はアップデートを補完する多層防御として有効であり、特に複数WordPressサイトを管理するエージェンシーや企業は、管理下の全サイトのバージョン一括確認・更新の自動化を検討すべきである。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]のWebサイト運用担当者です。自社WordPressサイトでAvadaテーマ（バージョン[現在バージョン]）を使用しています。CVE-2026-18431（CVSS 9.8）の対応として次を作成してください。1) アップデート前後の動作確認チェックリスト（主要ページ・フォーム・カスタム機能）、2) 不正ファイル設置の有無を確認するためのサーバーファイル調査コマンド、3) 万一侵害されていた場合の対応フロー（ホスト会社への連絡・バックアップからのリストア手順）。[利用サーバー]環境に合わせた具体的な手順を作成してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

サイト運用組織の名称

現在インストール中のAvadaバージョン

レンタルサーバーやVPSの種類

キーワード

  • CVE-2026-18431
  • Avada テーマ
  • WordPress RCE
  • Fusion Builder
  • ゼロクリック攻撃

SOURCES · 参考情報源