Patchstackが2026年9月25日、Elementor Website Builder（有効インストール200万件超）のCSRF脆弱性を公表しました。ログイン中の管理者がリンクを開くだけで、もう1つの管理者アカウントが作られる恐れがあります。今日やるべきはElementorの最新版更新と、ユーザー一覧の点検です。
2026年9月25日、脆弱性データベースのPatchstackが、WordPressで最も使われるページビルダーの1つ「Elementor Website Builder」にクロスサイトリクエストフォージェリ（CSRF）の脆弱性があると公表しました。ログイン中のWordPressユーザーが攻撃者の用意したリンクを1回開くだけで、そのユーザーの権限で実行できるREST API操作が勝手に走る、というものです。初期設定のままのサイトでは、管理者がリンクを踏むと2つ目の管理者アカウントが作られる、とPatchstackは説明しています。
何が起きた脆弱性なのですか？
報告されたのは、Elementor Website Builder の REST API に対する CSRF（クロスサイトリクエストフォージェリ）です。CSRFは「あなたのブラウザに保存されたログイン状態を、攻撃者が横取りして操作させる」タイプの欠陥です。パスワードを盗む必要はなく、ログイン中の人に細工したURLを1回クリックさせるだけで成立します。
Patchstackの説明によれば、この脆弱性では対象ユーザーが持つ権限の範囲でREST APIの操作が実行されます。つまり編集者が踏めば編集者にできること、管理者が踏めば管理者にできることがすべて実行され得ます。初期設定のサイトでは、管理者がリンクを開いた時点で新しい管理者アカウントが追加される、と具体例が挙げられています。
Elementorは有効インストール200万件を超える国内外で定番のプラグインです。自社サイトの見た目をドラッグ&ドロップで作っている場合、制作会社が導入していて管理者自身は意識していないケースも少なくありません。「使っているつもりがない」サイトでも入っている可能性があります。
自分のサイトが影響を受けるか、どう確認しますか？
WordPress管理画面の 「プラグイン」→「インストール済みプラグイン」 を開き、一覧で「Elementor」を探してください。有効化されていれば対象です。Elementor Pro（有料版）を併用している場合も、土台となる無料版のElementor Website Builderが入っています。
次に バージョン番号を確認します。プラグイン名の下に「バージョン x.x.x」と表示されます。「更新があります」と赤く出ていれば、その時点で未対応の状態です。Patchstackの記事にある修正版以降へ上げることで、この問題は解消されるとみられます。迷う場合は、Elementorを最新版にするのが最も確実です。
CSRFは「サイトの穴」であると同時に「人のクリック」を必要とします。そのため、更新を後回しにしたまま管理者が普段どおりメールのリンクを開く運用を続けると、リスクが積み上がります。更新と、社内の注意喚起はセットで行ってください。
すでに侵入されていないか、どこを見ればわかりますか？
CSRFは静かに実行されるため、画面上の見た目には変化が出ません。確認すべきは次の3か所です。
- ユーザー一覧（管理画面「ユーザー」）：知らない名前、心当たりのないメールアドレス、権限グループが「管理者」のアカウントがないか。登録日が新しいものを優先して見ます。
- 権限の変更：既存の購読者・寄稿者が管理者や編集者に格上げされていないか。
- プラグイン一覧：見覚えのないプラグインが追加・有効化されていないか。名前が正規プラグインに似せてある場合もあります。
不審なアカウントを見つけたら、削除する前に画面のスクリーンショットを残し、既存管理者全員のパスワードを変更してください。そのうえでログインセッションを全て破棄し（プロフィール画面の「他の場所からログアウト」）、バックアップの世代を確認します。自力での判断が難しい場合は、被害拡大を防ぐため専門の保守業者に相談することをおすすめします。
今後も同じ被害を防ぐには何が必要ですか？
CSRFへの根本対策はプラグイン側の修正待ちですが、被害を小さくする運用は自社でできます。第一に、日常の記事投稿に管理者アカウントを使わないことです。投稿だけなら「編集者」権限で足ります。管理者でログインしている時間が短いほど、リンクを踏んだときの被害範囲は狭まります。
第二に、管理者の 二要素認証の有効化です。CSRF自体は二要素認証を回避しますが、作られた不正アカウントから先の侵入や再ログインを難しくできます。第三に、プラグインの自動更新です。WordPressのプラグイン一覧では各プラグインごとに「自動更新を有効化」を設定できます。Elementorのように利用サイト数が多いプラグインは攻撃者に狙われやすく、公開から悪用までの時間も短くなる傾向があります。
中小企業は今日何をすべきか
- 今日中に管理画面「プラグイン」を開き、Elementorがあれば最新版に更新する。更新前に必ずバックアップを取得する。
- 「ユーザー」一覧を全件確認し、権限グループ「管理者」のアカウントが想定どおりの人数・名前かを数える。心当たりのないものがあればスクリーンショットを残したうえで削除し、全管理者のパスワードを変更する。
- 社内・制作会社に「WordPressにログインしたままメールやSNSの不明なリンクを開かない」と共有し、記事更新用のアカウントを管理者から編集者に切り替える。
よくある質問
Elementor Proだけ使っていれば影響はありませんか？
Elementor Proは無料版のElementor Website Builderを前提に動作するため、無料版も必ずインストールされています。プラグイン一覧で両方のバージョンを確認し、いずれも最新版に更新してください。
リンクを踏んだ覚えがなければ安全ですか？
断定はできません。CSRFのリンクはメールだけでなく、SNSの投稿、掲示板、広告、他サイトの埋め込みコンテンツからも仕掛けられます。心当たりの有無にかかわらず、ユーザー一覧に不審な管理者アカウントがないかを確認することをおすすめします。
更新でサイトのデザインが崩れるのが怖いのですが、どうすればよいですか？
更新前にファイルとデータベースの両方をバックアップし、更新後にトップページと主要な下層ページを目視で確認する手順を取ってください。崩れた場合にすぐ戻せる体制があれば、更新を先送りするより安全です。手順に不安がある場合はWP守るの無料WordPress安全診断（https://wp-mamoru.com/diagnosis/）でご相談ください。
出典
