WordPress の NextGEN Gallery 4.4.1 以前で、画像配信経路の欠陥により認証済みユーザーがコード実行に至る恐れ（CVE-2026-76010）: CVSS 8.8、修正版は未確認

NVD は 2026-10-31（10:16 UTC）に、WordPress プラグイン「NextGEN Gallery」（Photo Gallery, Sliders, Proofing and Themes）の CVE-2026-76010 を登録しました。説明によれば、4.4.1 までのすべての版で、render_image 関数を経由して**リモートコード実行（RCE）**に至る欠陥があります。弱点の分類は CWE-434（危険な種類のファイルの無制限アップロード）で、登録元（CNA）は Wordfence です。NVD の状態は「Received」で、NVD 自身の分析はまだありません。

何が起きるか

• 説明は、原因を 3 つ挙げています。(1) 呼び出し側が渡す meta_data のキーが、画像モデルへ無制限に割り当てられる（mass assignment）。(2) パス組み立てで realpath による範囲の確認がない。(3) 公開の画像配信ルートの署名チェックが回避できる。
• 攻撃には認証が必要です。ただし「カスタムレベル以上」の権限で足り、NextGEN のギャラリーを 1 つ以上所有していることが条件です。説明によれば、「NextGEN Manage gallery」権限を一度でも与えられた購読者（Subscriber）が該当し、保存されたギャラリー作成者との一致による判定（_can_manage_gallery()）が残るため、権限を取り消した後も権限が保持されます。
• 参考資料には、DataStorage/Manager.php・DynamicThumbnails/Controller.php・XMLRPC/Controller.php のコード位置（4.3.0 タグ）と、変更セット 3699076 が挙げられています。具体的な悪用の手順は本記事では扱いません。

数値と出典（2026-11-01 時点）

項目	内容
CVE	CVE-2026-76010（CWE-434）
影響版	NextGEN Gallery 4.4.1 までのすべての版（NVD の説明）
修正版	未確認。WordPress.org の最新版は 4.5.5（2026-10-29 更新）で、CVE の公開（10/31）より前。4.4.1 より後の版で修正済みとみられるが、どの版かは確認できていない（推定）
CVSS v3.1	8.8（High、CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。Wordfence（CNA）の値で、NVD 自身の評価はなし
状態	NVD の状態は「Received」
EPSS	1.13%（パーセンタイル 66.4%、2026-10-31 時点、FIRST）
KEV	掲載なし（CISA の JSON で確認）

severity を high とした理由

CVSS は 8.8 で、コード実行に至り得る点は重いものです。一方で、認証が必要で、ギャラリーを所有する利用者という前提があり、EPSS は低め、KEV にも載っていません。悪用の報告も確認できないため、critical ではなく high としました。購読者に NextGEN の管理権限を与えている、または過去に与えていたサイトでは、実際の危険は大きくなります。

対応として考えられること

1. NextGEN Gallery を使っているサイトで、導入している版を確認します。4.4.1 以前なら、最新版（4.5.5 など）への更新を優先します。
2. 更新できない間は、NextGEN のギャラリー管理権限を持つ利用者を洗い出します。過去に権限を与え、後から取り消した購読者も含めて確認します（取り消しても権限が残る点に注意）。
3. 不要なギャラリー作成者のアカウントを整理し、疑わしい画像ファイルや、アップロード先に置かれた PHP などの実行可能ファイルがないか確認します。
4. ウェブサーバー側で、アップロード先ディレクトリでのスクリプト実行を禁止する設定も有効です。

未確認の点

• 修正された版は確認できていません。4.4.2〜4.5.5 のどこで修正されたかは不明です（変更セットの内容は取得できませんでした）。
• 実際の悪用、攻撃の再現、公開された検証コード（PoC）は確認していません。
• 4.4.1 より前の版すべてが影響を受けるという記述は NVD の説明によるもので、下限は確認していません。
• CVSS は Wordfence（CNA）の値のみで、NVD 自身の評価は確認できていません。
• 日付は NVD の登録（2026-10-31 10:16 UTC）に基づきます。