---
title: "WordPress プラグイン Import and export users and customers で管理者権限に昇格できる問題（CVE-2026-120554）: CVSS v3.1 8.8、2.5.11 以前が対象"
url: https://n-t-p.io/worldsecurity/articles/wordpress-import-export-users-customers-cve-2026-120554-cron-privilege-escalation
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-120554
---

# WordPress プラグイン Import and export users and customers で管理者権限に昇格できる問題（CVE-2026-120554）: CVSS v3.1 8.8、2.5.11 以前が対象

> **TL;DR:** WordPress プラグイン Import and export users and customers の 2.5.11 以前で、定期取り込みの設定保存が権限確認より先に値を書き込むため、create_users 権限だけの利用者が CSV を差し替えて Administrator に昇格できる（CVE-2026-120554、CWE-863、CVSS v3.1 8.8）。修正版の番号・悪用の有無は未確認。

**要点**
- 定期取り込みの設定保存が、権限確認より先に設定値を書き込む（CVE-2026-120554）。
- create_users 権限だけの利用者が、取り込み対象の CSV を差し替え、次の無人の定期実行で Administrator に昇格できる。
- CVSS v3.1 は 8.8。認証（低権限）が必要で、管理者の保存済み設定などの条件がある。
- 修正版の番号と実際の悪用は未確認。最新版への更新と Wordfence の情報を確認する。

WordPress のプラグイン「Import and export users and customers」で、ユーザー作成の権限を持つ低権限の利用者が Administrator に昇格できる問題（CVE-2026-120554）が、2026-11-04 に NVD へ登録されました。登録元は Wordfence で、NVD の状態は「Deferred」です。

## 何が起きるか
- 定期取り込み（cron）の設定を保存する `ACUI_Cron::save_settings()` が、複数の設定値を先に書き込み、そのあとで権限の確認（拒否する場合は `wp_die()`）を行います。
- そのため、確認で拒否されても、定期取り込みの有効化フラグ、設定した利用者、取り込む CSV のパスは保存された状態で残ります。
- `create_users` 権限はあるが `promote_users`・`edit_users` 権限はない、委任された独自ロールの利用者が、この残った設定を使って取り込み対象の CSV を差し替えられます。
- 差し替えた CSV が、次の無人の定期実行で処理されると、攻撃者は Administrator に昇格できます。
- 成立には、管理者が以前に定期取り込みの設定を保存済みであること、次の定期実行までに正規の保存が入らないことが必要とされています。

## 数値と severity
- CVSS v3.1 は 8.8（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。
- 攻撃には認証（低権限の特定ロール）が必要で、CVSS も 9 未満のため、severity は high とします。
- CWE は CWE-863（不適切な認可）です。
- EPSS と CISA の KEV は本記事の作成時点で未確認です。

## 影響を受ける製品
- WordPress プラグイン「Import and export users and customers」の 2.5.11 以前（NVD の affected 情報）。

## 対策
- 参照情報に修正の変更履歴（changeset 3775652）が含まれますが、修正済みの版番号は確認できていません。
- プラグインを最新版へ更新し、Wordfence の脆弱性情報で修正版を確認してください。
- 一般的な対応として、`create_users` 権限を委任している独自ロールの有無と、定期取り込みの設定内容を見直すことが考えられます（公式の指示ではありません）。

## 未確認の点
- 修正済みの版番号と、回避策の有無。
- 実際の悪用の有無、攻撃コードの公開状況。
- 利用サイトでの実際の悪用の難しさ（委任ロールを使っているサイトの割合など）。
- NVD の最終評価、EPSS、KEV の掲載状況。

## 出典
- NVD: CVE-2026-120554
- Wordfence Threat Intelligence の脆弱性情報


## 出典
- [NVD CVE-2026-120554](https://nvd.nist.gov/vuln/detail/CVE-2026-120554) — NIST NVD
- [Wordfence Threat Intelligence（CVE-2026-120554）](https://www.wordfence.com/threat-intel/vulnerabilities/id/4db0991f-fc89-411b-b0df-1a11c9ddec1f) — Wordfence

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-import-export-users-customers-cve-2026-120554-cron-privilege-escalation