---
title: "WordPress プラグイン Project Manager 4.1.1 以前で、認証なしのリモートコード実行（CVE-2026-116512）: 検証ルールに 'id' 値が混入し PHP 関数として呼ばれる、4.1.2 に更新を"
url: https://n-t-p.io/worldsecurity/articles/wordpress-project-manager-plugin-unauthenticated-rce-validate-callback-before-4-1-2-cve-2026-116512
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年10月31日
updated: 2026年10月31日
severity: 緊急
cve: CVE-2026-116512
---

# WordPress プラグイン Project Manager 4.1.1 以前で、認証なしのリモートコード実行（CVE-2026-116512）: 検証ルールに 'id' 値が混入し PHP 関数として呼ばれる、4.1.2 に更新を

> **TL;DR:** WordPress 用プラグイン Project Manager 4.1.1 以前に、認証なしでサーバー上のコードを実行できる脆弱性（CVE-2026-116512）。REST の 'id' 値が検証ルール文字列に混入し、PHP 関数として呼ばれる。CVSS v3.1 は 9.8（Wordfence が付与、NVD 自身の評価は未実施）。EPSS 0.58%、KEV なし、悪用の報告なし。4.1.2 で修正と見られる（推定）。

**要点**
- Project Manager 4.1.1 以前：REST ルートの 'id' 値が検証ルールに連結され、許可リストなしで PHP 関数として呼ばれる。permission_callback より前に実行されるため認証不要と説明されている。再現は当サイトでは未実施
- CVSS v3.1 は 9.8（Wordfence が付与、AV:N/AC:L/PR:N/UI:N）。NVD の状態は Received で、NVD 自身の評価は未実施。EPSS 0.58%、KEV なし、悪用の報告なし
- 配布元の 4.1.2（10/29）の changelog に、プロジェクト変更の検証に関するセキュリティ修正がある。本件との対応は推定
- 4.1.2 以降へ更新。更新できない間は無効化を検討（効果は未検証）
- 修正の中身、影響版の下限、悪用の有無は未確認。NVD の CWE-434 の分類は説明と合わないように見える

WordPress 用プラグイン「Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker」（配布名 `wedevs-project-manager`）の 4.1.1 以前に、認証なしでサーバー上のコードを実行できる脆弱性（CVE-2026-116512）が公表され、10/31 に NVD へ登録されました。CVSS v3.1 は 9.8（Critical）で、この値を付けたのは CNA の Wordfence です（NVD 自身の評価は未実施で、状態は「Received」）。**配布元の changelog に、10/29 公開の 4.1.2 で「プロジェクト変更の検証に関するセキュリティ問題を修正」とあります。** ただし、この記載が本件を指すと明言はされていないため、対応は推定です。

## 何が起きるか

- CNA の説明によると、REST API のルート引数 `id` の値が、パイプ区切りの検証ルール文字列にそのまま連結されます。その文字列を分割した各要素が、許可リストの確認なしに PHP の関数として呼び出されます。
- WordPress 本体は、ルートの `validate_callback` を `permission_callback` より先に `WP_REST_Server::dispatch()` の中で実行します。このため、プラグインの権限確認（Project_Manage_Capability）にたどり着く前に、問題のコードが実行されます。これが「認証なし」で成り立つ理由と説明されています。
- 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（2026.10.30 版・1766 件で確認）。

## 影響を受ける条件と評価

| 項目 | 内容 |
|---|---|
| 対象 | Project Manager プラグイン 4.1.1 以前（CNA の記載は「4.1.1 までのすべての版」）。下限の版は記載なし |
| 前提 | プラグインが有効で、REST API のルートが外部から到達できること。ログインは不要 |
| CVSS | v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。付与したのは Wordfence（CNA、NVD の種別は Primary 表示）。NVD 自身の評価は未実施 |
| 状態 | NVD の状態は「Received」（10/31 登録）。NVD の影響版の構成情報は未登録 |
| 弱点の分類 | NVD の記載は CWE-434（危険な種類のファイルの無制限アップロード）。説明の内容（検証ルールへの値の混入と動的な関数呼び出し）とは一致して見えないため、分類は参考程度 |
| EPSS | 0.58%（パーセンタイル 48.0%、10/31 時点、FIRST） |
| 修正 | 4.1.2（10/29 公開）。changelog の「Security」項目が該当すると見られる（推定） |

## 修正の状況

- WordPress.org のプラグイン情報では、現在の最新版は 4.1.2（最終更新 10/29）です。changelog の 4.1.2 の項は「Security: プロジェクト変更を保存する前の検証に関するセキュリティ問題を修正。すぐに更新するよう勧める」と書いています。
- 参照先に挙がっているプラグインのリポジトリの変更（changeset 3772103）は、検証クラス `Abstract_Validator.php` を対象にしています。コードの差分の中身は、当サイトでは確認できていません。
- 4.1.1（10/20 公開）の changelog には別の件（SVG サニタイザの更新）があり、本件の修正は含まれません。

## 対応として考えられること（本記事の推定）

1. WordPress の管理画面で、Project Manager プラグインの版を確認します。4.1.1 以前なら、すぐに 4.1.2 以降へ更新します。
2. 更新できない間は、プラグインを無効化することで、問題のルートへの到達を止められると考えられます（この対処の効果は当サイトでは検証していません）。
3. 更新前に、サイトのファイルとデータベースのバックアップを取ります。公開前の版を使っていた期間（10/20 以降を含む）のアクセスログに、WordPress の REST API（`/wp-json/` 配下）への不審なリクエストがないかを確認する、という点検も考えられます（ログの形式は構成によります）。

## 未確認の点

- 悪用の報告は確認できていません。KEV にも載っていません。
- 4.1.2 の変更が本件を指すこと、修正の中身、修正前の版の下限は確認できていません。
- 本記事の severity 欄は、認証不要・ネットワーク経由・利用者の操作不要でコード実行に至るとされる点を踏まえ critical にしました。CVSS 9.8 は CNA の値で、NVD 自身の評価は未実施です。
- 当サイトでは、コードの実行を再現していません。ソースコードの確認も行っておらず、記載は CNA の説明と配布元の changelog に基づきます。
- 日付は、NVD の登録（2026-10-31 08:16 UTC）と配布元の changelog の日付に基づきます。


## 出典
- [NVD CVE-2026-116512](https://nvd.nist.gov/vuln/detail/CVE-2026-116512) — NIST NVD
- [Wordfence Threat Intelligence（CVE-2026-116512）](https://www.wordfence.com/threat-intel/vulnerabilities/id/d3e300b3-39cc-4681-a8e8-02d9743f97ff?source=cve) — Wordfence
- [WordPress.org プラグイン Project Manager（changelog）](https://wordpress.org/plugins/wedevs-project-manager/#developers) — WordPress.org
- [プラグインのリポジトリ changeset 3772103](https://plugins.trac.wordpress.org/changeset/3772103/wedevs-project-manager/trunk/core/Validator/Abstract_Validator.php) — WordPress.org Plugins Trac
- [FIRST EPSS CVE-2026-116512](https://api.first.org/data/v1/epss?cve=CVE-2026-116512) — FIRST
- [CISA KEV カタログ（2026.10.30 版）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-project-manager-plugin-unauthenticated-rce-validate-callback-before-4-1-2-cve-2026-116512