DefiantのWordfenceチームの研究者は、WordPressで広く利用されているAvadaテーマに存在する一連の重大な脆弱性について警告しました。これにより、認証されていない攻撃者が、ユーザーによるクリックを必要としない攻撃を通じて、サーバー上で任意のPHP命令を実行できる可能性があります。6件の脆弱性は、まとめてCVE-2026-18431として登録され、深刻度は10点満点中9.8と評価されています。
AvadaテーマとFusion Builderプラグインを開発するThemeFusionは、2026年8月25日にAvada 7.16.1およびFusion Builder 3.16.1で修正をリリースしました。この欠陥はAvada 7.16以下のバージョン、およびFusion Builder 3.16以下のバージョンに影響します。サイト運営者は両方のコンポーネントを更新する必要があります。WordfenceがBleepingComputerに伝えた説明によると、プラグインはテーマの動作に必要であり、テーマとともにインストールされます。
単独の脆弱性ではなく、6段階の連鎖
この攻撃は、独立した1つの問題に依存するのではなく、6種類の脆弱性を特定の順序でつなぎ合わせます。連鎖は、公開リクエストを通じて攻撃者が制御する入力を露出させることから始まり、その入力を匿名ユーザーには利用できない関数に渡し、想定された用途の範囲外で権限を持つコンポーネントを呼び出します。
その後、リクエストデータを使って信頼された状態に影響を与え、十分に保護されていない管理操作にアクセスし、最後にファイル処理メカニズムに課された制限を回避して、書き込み可能な内容と場所を指定します。この連続した手順によって、分散した脆弱性がPHPコードをリモートで実行する能力へと変わります。
サイト所有者にとって実際に何が変わるのか
攻撃に成功した場合、攻撃者は利用可能な権限の範囲内で、サイトと関連サーバーを完全に掌握できる可能性があります。想定される結果には、マルウェアの埋め込み、データベースへのアクセス、訪問者の悪意あるサイトへのリダイレクト、または許可されていない管理者アカウントの作成が含まれます。
この欠陥の重要性は、Avadaの広範な利用基盤によって高まっています。同テーマの販売数は100万件を超えています。Wordfenceによると、テーマが存在する場合、動作に必要なFusion Builderも実質的に存在することになります。そのため、当初考えられていたほど技術的要件によって対象サイトの範囲が狭まるわけではありません。Avadaを使用するすべてのサイトは、影響を受けるバージョンのままであれば危険にさらされます。
なぜこのニュースが重要なのか
危険性は、重大なセキュリティ評価、認証や被害者の操作が不要であること、そしてWordPressサイト内でコンポーネントが広く普及していることという3つの要因が重なる点にあります。また、この連鎖の性質上、どちらか一方だけを確認するのではなく、テーマとプラグインを同時に更新することが優先されます。
Wordfenceは2026年7月30日、Argusと呼ばれるエージェント型人工知能を用いた内部指向フレームワークを使ってこの欠陥を発見し、そのフレームワークは約2時間で脆弱性の再現と概念実証コードの開発に成功しました。研究者らは8月5日に詳細をThemeFusionと共有し、同社は8月10日に報告を認めました。Wordfenceはサイト管理者に更新をインストールする時間を与えるため、完全な技術的詳細を公開していません。そのため、修正が利用可能になる前に実際の攻撃が行われていたかどうかは、情報源では明らかにされていません。