WP Time Capsuleで発見された認証バイパス//公開日 2026-06-01//CVE-2026-42760

WP-FIREWALL セキュリティチーム

WordPress Backup and Staging by WP Time Capsule Plugin CVE-2026-42760

プラグイン名 WP Time CapsuleプラグインによるWordPressバックアップとステージング
脆弱性の種類 認証バイパス
CVE番号 CVE-2026-42760
緊急 高い
CVE公開日 2026-06-01
ソースURL CVE-2026-42760

「WP Time Capsuleによるバックアップとステージング」（≤ 1.22.25）の認証の欠陥 — WordPressオーナーが今すぐ行うべきこと

著者： WP-Firewall セキュリティチーム
日付： 2026-06-01
タグ: WordPress、脆弱性、WP Time Capsule、WAF、インシデントレスポンス、CVE-2026-42760

要約

重大な認証の欠陥脆弱性（CVE-2026-42760）が「WP Time Capsuleによるバックアップとステージング」プラグインのバージョン≤ 1.22.25に影響を与えています。この問題により、認証されていないリクエストが初期設定/コールバックフローを悪用できるため、認証トークンが適切に検証されず、攻撃者が通常はより高い権限を必要とするアクションを実行できるようになります — これには管理者の乗っ取りが含まれる可能性があります。ベンダーはこの問題に対処するためにバージョン1.22.26をリリースしました。.

10. 可能であれば無効にしてください、

  • すぐに1.22.26にアップデートしてください（推奨）。.
  • すぐにアップデートできない場合は、プラグインを無効にするか、脆弱な設定/コールバックフローをブロックするWAFルールを適用してください。.
  • 以下のインシデントレスポンスチェックリストに従って、可能な妥協を検出し、修正してください。.

この投稿では、脆弱性が実際に何を意味するのか、段階的な緩和および検出手段、WP-FirewallのようなWebアプリケーションファイアウォール（WAF）がどのようにサイトを即座に保護できるか、今後のリスクを減らすための長期的な強化アドバイスについて説明します。.

何が起こったのか？わかりやすい説明

このプラグインはWordPressサイトのバックアップとステージングサービスを提供します。プラグインが「初期設定」（または類似のコールバック）フローを処理する方法に脆弱性が発見されました。そのフロー中、プラグインはAuthorizationフィールドに送信されたトークンを受け入れますが、そのトークンの署名や真正性を暗号的に検証しません。適切な検証ステップがないため、攻撃者は作成したトークンを提示し、プラグインが安全なコールバックの後にのみ実行すべき特権アクションを実行させることができます。.

このチェックが欠けているため、攻撃には認証されたWordPressアカウントは必要ありません。したがって、この脆弱性は「認証の欠陥」（OWASP A7関連）として分類され、CVE-2026-42760が割り当てられています。そのCVSS 3.xスコア（公に報告されたもの）は7.5 — 高 — であり、認証されていないアクターが権限を昇格させたり、影響を受けたサイトで管理者レベルの操作を実行したりできるためです。.

誰が影響を受けるのか？

  • 「WP Time Capsuleによるバックアップとステージング」プラグインのバージョンを実行している任意のWordPressサイト 1.22.25およびそれ以前.
  • プラグインの設定/コールバックエンドポイントを公共インターネットに公開しているサイト（典型的なデフォルト動作）。.
  • これは認証されていないため、低トラフィックまたは不明なサイトでもリスクがあります。大規模な悪用は現実的な脅威です。.

プラグインを実行しているか、どのバージョンを持っているか不明な場合：

  • WordPress管理者にログイン → プラグイン → インストール済みプラグインを選択し、「バックアップとステージング」または「WP Time Capsule」を探してください。.
  • プラグインのバージョン番号を確認してください。もしそれが≤ 1.22.25であれば、すぐにアップグレードしてください。.

この脆弱性が危険な理由

  • 認証されていない：攻撃者は問題を悪用するためにサイトのアカウントを必要としません。.
  • 権限昇格：このフローは通常管理者に予約されているアクションを実行するために使用でき、サイトの完全な乗っ取りの可能性を高めます。.
  • 大規模な悪用リスク：このタイプの脆弱性は自動化が容易であり、大規模な侵害キャンペーンのために武器化されることがよくあります。.
  • 長期的な持続性：攻撃者が管理者レベルのアクセスを取得すると、バックドアをインストールしたり、不正な管理者ユーザーを作成したり、プラグイン/テーマを変更したり、悪意のあるリダイレクトを押し込んだり、データを抽出したり、SEOスパムを展開したりすることができます。.

直ちに実行すべき具体的なステップ — 今すぐ何をすべきか

  1. プラグインの更新
    • バージョンをインストール 1.22.26 またはそれ以降を直ちにインストールしてください。これはベンダーからの決定的な修正です。.
    • 多くのサイトを持っている場合は、安全な自動更新メカニズムを有効にするか、管理ツールを通じてロールアップデートを検討してください。.
  2. すぐに更新できない場合
    • 更新できるまでプラグインを無効にしてください。.
    • 脆弱性をブロックするためにWAFルールを適用します（以下に例とガイダンスがあります）。.
    • 可能であれば、IPホワイトリストを使用してプラグイン特有のエンドポイントへのアクセスを制限します。.
  3. 隔離とトリアージ
    • 調査中はサイトをメンテナンスモードにします。.
    • ファイルシステムとデータベースのスナップショットを取得します（これらはフォレンジック分析に役立つ場合があります）。オフラインでコピーを保持してください。.
  4. 妨害の指標を確認します
    • wp_usersテーブルを確認して、新しい不明な管理者ユーザーを探します。.
    • wp_usermetaで能力の変更を確認します。.
    • wp_optionsを監査して、疑わしい値（特にactive_plugins、cronスケジュール）を探します。.
    • アップロード、テーマ、およびプラグインディレクトリをスキャンして、不明なPHPファイルやウェブシェルの署名を探します。.
    • ウェブサーバーログとWAFログを確認して、プラグインエンドポイントへの疑わしい呼び出しや「INITIAL_SETUP」や類似のトークンを含むリクエストを探します。.
  5. 妨害された資格情報をリセットします
    • すべての管理者に対してパスワードのリセットを強制します。.
    • WordPressと統合されたサードパーティサービスで使用されるAPIキーとトークンをローテーションします。.
    • SSO/OAuth統合を使用している場合は、トークンとアプリケーションアクセスを確認します。.
  6. クリーニングまたは修復
    • 妨害の証拠が見つかった場合は、妨害前に取得したクリーンバックアップから復元します。.
    • 復元後、プラグインの更新を適用し、資格情報を強化してください。.
    • クリーンな状態を確信できない場合は、信頼できるソースからの完全な再構築を検討し、サニタイズされたコンテンツのみを復元してください。.
  7. 利害関係者への通知
    • ホスティングプロバイダーまたはウェブサイトのセキュリティチームに通知してください。.
    • ユーザーデータを扱い、開示義務がある場合は、インシデント開示手続きを遵守してください。.

WAFを使用して保護を適用する方法（WP-Firewall特有のガイダンス）

WAFは、影響を受けたすべてのサイトにベンダーパッチを適用するまで、即時の仮想パッチを提供できます。WP-Firewallは、脆弱なセットアップ/コールバックフローを悪用しようとする試みをブロックする緩和ルールを展開できます。.

高レベルのWAF緩和手順（例）：

  • プラグインに関連する「初期設定」またはコールバックフローを示す受信リクエストをブロックします。.
    • 例のルール：ボディに「INITIAL_SETUP」という文字列（大文字と小文字を区別しない）が含まれ、プラグインルートをターゲットとするPOSTリクエストをブロックします。.
  • プラグインに関連するRESTエンドポイントまたはAJAXアクションへのリクエストをブロックします：
    • 知られているプラグインのRESTベースパス（例：/wp-json/wptc/*へのリクエストや、プラグインがコールバックに使用する任意のルート）へのリクエストをブロックします。正確なエンドポイントが不明な場合は、プラグインが使用するパターンでリクエストをブロックまたはレート制限します。.
  • 特権アクションを実行しようとする認証されていない呼び出しを拒否します：
    • リクエストにAuthorizationヘッダーまたはトークンが含まれているが、パブリックIPから来ている場合—かつプラグインがサーバー間の署名されたコールバックを必要とすることが知られている場合—検証が行えるまでブロックします。.
  • 知られている危険な動詞を制限します：
    • 管理ワークフローの一部でない珍しいユーザーエージェントまたはIPからのプラグイン設定エンドポイントへのPOSTリクエストを拒否または挑戦します。.

WP-Firewallや類似のWAFダッシュボードでの設定ガイドに使用できるサンプル（擬似）ルール：

  • ルールA — INITIAL_SETUPコールバックをブロック
    • 条件：REQUEST_METHOD == POST AND (REQUEST_BODYに「INITIAL_SETUP」が含まれる OR REQUEST_URIに「/initial_setup」が含まれる OR REQUEST_BODYに「wptc」が含まれる)
    • アクション: ブロックしてログに記録
    • 理由：悪用に使用されるコールバック/セットアップフローを即座に停止します。.
  • ルールB — 疑わしいAuthorizationの使用をブロック
    • 条件: REQUEST_HEADERS[“Authorization”] が存在し、かつ REQUEST_URI が “/wp-json/” を含み、かつ REQUEST_METHOD が (POST, PUT, DELETE) に含まれる
    • アクション: チャレンジ (CAPTCHA) またはブロック、リクエストが既知のIPアドレスから発信されていない限り
    • 理由: RESTエンドポイントでの認証されていないAPIの悪用を防止します。.
  • ルール C — プラグインファイルへのアクセスをブロックまたはレート制限
    • 条件: REQUEST_URI が正規表現 “(/wp-content/plugins/wp-time-capsule/|wp-time-capsule)” に一致する”
    • アクション: POSTリクエストをレート制限またはブロック; 公共資産に対してのみGETを許可
    • 理由: 悪用の試みを制限し、大規模スキャンの成功率を低下させます。.

注:

  • 過剰なブロックを避ける: 可能な限り、強制前にモニター/ログのみモードでルールを慎重にテストして、サイトの破損を防ぎます。.
  • ブロック + ロギングを使用して、後の調査のために攻撃の指標を収集できるようにします。.
  • WAFが仮想パッチ署名をサポートしている場合、脆弱なフローを特に探すルールを適用します。.

WP-Firewallの顧客: 当社の管理ルールセットには、問題が最初に公開されたときにプラグインの安全でない初期設定/コールバックパターンをブロックする緩和策がすでに含まれています。 当社のプラットフォームを使用している場合は、ダッシュボードでルールがアクティブであることを確認し、イベントログでブロックされた試行を確認してください。.

検出：ログとデータベースで探すべきもの

悪用の疑いがある場合は、以下を探してください：

  1. ウェブサーバーとアクセスログ
    • バックアップ/ステージングに関連するプラグインルートまたはREST URIへのPOSTリクエスト。.
    • “INITIAL_SETUP” や予期しないAuthorizationヘッダーを含むリクエスト。.
    • 特に多くのサイトで繰り返される場合、異常なIP範囲からのリクエスト。.
  2. WordPressのログと管理アクション
    • 予期しないプラグインのアクティベーション/非アクティベーションイベント。.
    • 疑わしい時間帯に作成された新しい管理ユーザー。.
    • active_plugins、site_url、home、またはcronスケジュールのようなオプションの変更。.
  3. データベースの異常
    • 管理者権限を持つwp_usersの新しい行。.
    • 権限を引き上げる修正されたusermeta (例: grant_super_admin)。.
    • 外部コールバックや新しいスケジュールされたタスクを参照するwp_optionsの予期しないエントリ。.
  4. ファイルシステムの変更
    • wp-content/uploads、wp-content/plugins、またはwp-content/themes内の新しいPHPファイル。.
    • コアファイル、テーマ、またはプラグインの変更されたタイムスタンプ。.
  5. 外部証拠
    • 外部監視からのアラート（稼働時間、コンテンツ改ざん）。.
    • 不明なホストへの外向き接続（サーバーレベルのログが利用可能な場合）。.

それらを変更する可能性のある修復を行う前にログを収集して保護する（法医学的目的のために外部にバックアップする）。.

インシデント対応チェックリスト — ステップバイステップ

  1. コンテイン
    • 脆弱なプラグインを無効にするか、流れをブロックするWAFルールを設定する。.
    • エクスポージャーを減らすためにサイトをメンテナンスモードにする。.
  2. 証拠を保存する
    • 法医学的レビューのためにログ、データベース、およびファイルシステムスナップショットのコピーを作成する。.
    • 調査者のためにプラグインバージョンディレクトリのコピーを保存する。.
  3. 調査する
    • 上記で説明された指標を探す。.
    • 最初の疑わしいリクエストのタイムスタンプを特定する（アクセスログを使用）し、そこからピボットする。.
    • スコープを特定する：バックドアは設置されたか？影響を受けたサイトは複数あるか？
  4. 撲滅
    • 不正なユーザーとコードを削除するか、既知のクリーンバックアップから復元する。.
    • 信頼できるソースからWordPressコア、プラグイン、およびテーマを再インストールしてください。.
    • サイトをオンラインに戻す前にベンダーパッチを適用する（プラグインを1.22.26に更新）。.
  5. 回復する
    • すべての資格情報（管理者アカウント、APIキー、トークン、データベースパスワード）をローテーションする。.
    • サービスを再有効化し、密接に監視を続ける。.
    • マルウェアスキャナーで再スキャンし、クリーンな状態を確認する。.
  6. 教訓
    • タイムライン、根本原因、および取られたステップを文書化する。.
    • 再発の可能性を減らすために保護策を改善する。.

強化と長期的な緩和策

プラグインの更新は最初で最も重要なステップですが、セキュリティには層状のアプローチを取るべきです。.

  1. プラグインの表面を最小限にする。
    • 使用していないプラグインとテーマを削除する。コードが少ないほど、潜在的な脆弱性も少なくなります。.
  2. すべてを最新の状態に保ちます。
    • 合理的な更新ポリシーを設定する。重要なセキュリティ更新は迅速に適用するべきです。.
  3. 最小権限の原則を使用する
    • 管理者アカウントは制限するべきです。日常業務のために最小限の権限を持つ別のアカウントを作成してください。.
  4. 2FAと強力なパスワードを強制する。
    • すべての管理者レベルのアカウントに対して二要素認証を要求する。.
  5. 管理エンドポイントへのアクセスを制限します。
    • 運用上可能な場合は、IPによってwp-adminとwp-login.phpを制限する。.
    • 適切であれば、管理アクセスのためにリバースプロキシやVPNを使用する。.
  6. REST/APIアクセスを強化する。
    • サーバー間のコールバックが署名されたトークンを使用し、署名が検証されていることを確認する。.
    • 重要なエンドポイントに対してオリジン/リファラーのチェックを要求し、ノンスを検証する。.
  7. 監視とログ記録
    • 中央集権的なログを維持し、大量のプラグインのアクティベーションや新しい管理者の作成などの疑わしい活動に対してアラートを設定する。.
  8. 定期的なセキュリティスキャンとペンテスト。
    • 定期的なスキャンと第三者監査は、攻撃者が行う前に弱点を見つけるのに役立ちます。.
  9. バックアップ戦略
    • 頻繁なオフサイトバックアップを維持し、定期的に復元テストを行う。バックアップは、改ざんを防ぐために可能な限り不変であるべきです。.

何をしてはいけないかの例（およびその理由）

  • 単に不明瞭さに依存しないでください：管理者のURLを隠したりフォルダーの名前を変更したりすることは、認証されていない欠陥に対する十分な保護ではありません。.
  • 更新を遅らせないでください：パッチの遅延は、脆弱性の露出ウィンドウを劇的に増加させます。.
  • ログを無視しないでください：多くの侵害は、ログが無効になっているか、ログ保持期間が短すぎるために見逃される明確な指標を示しています。.

よくある質問（FAQ）

Q: プラグインを更新した場合、まだ心配する必要がありますか？
A: はい — 更新は脆弱性を閉じますが、更新前にサイトがすでに悪用されていた場合、攻撃者がバックドアを残したりアカウントを作成したりしている可能性があります。インシデント対応チェックリストに従って整合性を確認してください。.

Q: プラグインを無効にするとバックアップが壊れますか？
A: プラグインを一時的に無効にすると、そのバックアップ/ステージング機能が停止します。それらのバックアップに依存している場合は、無効にする前に最近のバックアップを安全な場所にダウンロードしてください（そして、その期間中に代替バックアップソリューションを検討してください）。.

Q: WAFはどれくらいの速さで悪用をブロックできますか？
A: 適切に構成されたWAFは、悪用トラフィックを即座にブロックでき、しばしば数分以内に行われます。WAFを介した仮想パッチは、公式パッチが展開されるまでの効果的な「応急処置」です。.

Q: 不正な管理ユーザーを見つけた場合、明らかなウェブシェルがない場合はどうすればよいですか？
A: ユーザーを削除し、パスワードを変更し、持続的なメカニズム（スケジュールされたタスク、変更されたファイル）を検索してください。攻撃者は再侵入のために隠れた管理アカウントを作成することがよくあります。.

WP-Firewallがこのような問題からあなたを守る方法

WP-Firewallでは、WordPressサイトのための層状で実用的な保護に焦点を当てています。この特定の脆弱性クラス（プラグインコールバックフローにおける認証の破損）に対して、いくつかの補完的な保護を提供します：

  • プラグインを更新する前に脆弱なフローをブロックするために仮想パッチとして展開できる管理されたWAFルール。.
  • 設定/コールバックエンドポイントをターゲットにした疑わしいパターンを検出しブロックするための継続的なシグネチャ/ハントルール。.
  • ウェブシェルや異常なファイルを検出するためのマルウェアスキャナー。.
  • ブロックされた試行や攻撃パターンを可視化するための監査およびログ統合。.
  • 実践的なインシデント対応と月次セキュリティ報告のための管理サービス（上位プラン）。.

アクティブなWAFの即時の利点は、ベンダーパッチを適用し、クリーンアップを行っている間に自動化された大量悪用試行を停止することです。.

新しい：WP-Firewall Basic（無料）でサイトを保護してください

このような迅速に進行する脆弱性からサイトを保護することは、積極的な防御から始まります。WP-Firewall Basic（無料）は、管理されたファイアウォール、アクティブなWAF、無制限の帯域幅、内蔵のマルウェアスキャナー、OWASP Top 10リスクへの緩和を提供し、コストなしで基本的な保護を提供します。更新やインシデント対応を行っている間に迅速に露出を減らすように設計されています。.

WP-Firewall Basic（無料）を試して、即座に基本的な保護を受けてください：
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

（サードパーティプラグインを実行しているサイトでは、特にバックアップやステージングプラグインのようなリモートコールバックフローを提供するものについては、完全なパッチ適用を確認するまで無料プランを有効にすることをお勧めします。）

チェックリスト：今すべきこと（簡潔）

  • 「Backup and Staging by WP Time Capsule」がインストールされているか確認し、そのバージョンをチェックします。.
  • バージョンが≤ 1.22.25の場合：すぐに1.22.26に更新してください。.
  • すぐに更新できない場合：プラグインを無効にするか、初期設定/コールバックフローをブロックするWAFルールを適用してください。.
  • 侵害の兆候がないか監査ログ、ユーザー、cron、およびファイルシステムを確認します。.
  • 認証情報をローテーションし、管理者パスワードをリセットし、機密トークンを取り消します。.
  • 11. 影響を受ける可能性のあるサードパーティの認証情報を取り消し、再発行する。.
  • 監視と定期的なマルウェアスキャンを有効にします。.
  • 継続的な保護と迅速な緩和のために、管理されたセキュリティサービスへの登録を検討してください。.

WP-Firewallセキュリティチームからの最終ノート

壊れた認証を可能にする脆弱性は特に危険です。なぜなら、それらは攻撃者を排除する通常の障壁（パスワードやセッション状態など）を取り除くからです。正しい即時対応はパッチ適用ですが、実際の運用では複雑な依存関係や更新するサイトの群れがあるかもしれません。仮想パッチを展開できる管理されたWAFは、更新を調整する間に重要な時間を稼ぎます。.

ログの分析、WAFルールの実装、またはフォレンジックスキャンの実行に関して支援が必要な場合、私たちのセキュリティチームがサポートできます。迅速に行動してください：認証されていない高Severityの問題に対しては攻撃ウィンドウが短く、詳細が公開されると自動的に悪用されることがよくあります。.

安全を保ち、プラグインを更新し、深層防御を適用してください。.

— WP-Firewall セキュリティチーム

wordpress security update banner

WP Security Weeklyを無料で受け取る 👋
今すぐ登録!!

毎週、WordPress セキュリティ アップデートをメールで受け取るには、サインアップしてください。

スパムメールは送りません！ プライバシーポリシー 詳細については。

無料のWordPressセキュリティコンサルテーションをご予約いただくには、お問い合わせください。

お問い合わせ

WPファイアウォール
香港、九龍、観塘、洪徳路71号、ザ・レイズ6階

特徴 価格 ブログ ログイン
プライバシーポリシー 利用規約 ドキュメント アフィリエイト

© 2026 WP-Firewall™