はじめに：会員の名簿は、外に出てから気づいても遅い
教室の会員ページや、お客さま専用のページを WordPress で作っているところでは、登録フォームやログイン画面、マイページを1つのプラグインでまとめていることがよくあります。その代表のひとつが ProfilePress です（WordPress.org での正式名は「Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress」と長い名前です）。
この ProfilePress の 4.17.4 以前のすべての版 に弱点があると、米国の脆弱性データベースで2026年10月3日に公表されました。深刻度は10段階で 8.8、利用数は10万以上です。
かみくだくと、こういう内容です。
サイトにログインできる人（いちばん権限の低い「購読者」でも）が、会員一覧（Member Directory）のしくみを通じて、ほかの会員のメールアドレス・ログイン名・登録日 を読み取れるおそれがある
WordPress の設定で「だれでもユーザー登録ができるようにする」が有効だと、登録フォームのニックネームや自己紹介の欄を通じて、ログインしていない人でも 同じことができるおそれがある
開発元は 4.17.5 で修正 しており、そのあとの 4.17.6・4.17.7 でも、登録やログインのフォームまわりの安全面の修正が続いています。11月4日時点の最新は 4.18.0 です。悪用が確認されたという情報は、11月4日の時点では見つかっていません。
※2026年11月4日時点で公表されている情報をもとにしています。
私が「名簿がどこから見えるか」を先に見る理由
私は2016年からサイトの保守をしていて、旅行会社や整体院のサイトなど、500件以上の PHP 更新やトラブル対応をしてきました。脆弱性のニュースが出ると、お客さんから「うちも急いだほうがいいのでは」と相談を受けることがあります。
そういうとき私は、いきなり更新ボタンを押すのではなく、まず 今のサイトが、だれに何を見せているか を確かめてから順番を決めています。整体院のサイトでも、サーバー会社の対応を確かめ、事前の検証をしてから、PHP、WordPress 本体の順に上げました。
会員の名簿は、ふだん管理画面でしか見ないので、外からどう見えているかを意識しにくいものです。お知らせメールの配信用の名簿の取り込みを手伝ったとき、メールアドレスの書き間違いを1件ずつ直したことがありますが、名簿は1件ずつがお客さんとのつながりです。だからこそ、更新の前に次の4つを見ておきます。
確認1：ProfilePress が入っているかと、版の数字
管理画面の「プラグイン」を開き、検索欄に ProfilePress と入れます。
何も出なければ、今回の件は当てはまりません
出てきたら、名前の下の版の数字を見ます。4.17.4 以前 なら対象、4.17.5 以降 なら今回の弱点の修正は入っています
停止中で残っている場合は、使わないなら削除、残すなら更新します
制作会社に作ってもらったサイトだと、登録フォームがどのプラグインで動いているかを知らないこともあります。管理画面の左のメニューに「ProfilePress」の項目があれば、入っています。
確認2：「だれでもユーザー登録ができる」の設定
管理画面の「設定」→「一般」を開き、「メンバーシップ」の欄を見ます。
「だれでもユーザー登録ができるようにする」に印が入っていると、今回の弱点はログインしていない人からも使われるおそれがあります
会員を こちらから招待するだけ で、サイトからの登録を受け付けていないなら、ここの印は外しておきます
登録を受け付けているなら、印はそのままにして、確認4の更新を早めに進めます
ここの印は、昔なにかの理由で入れて、そのまま忘れられていることがあります。登録フォームを置いていないのに印が入っていたら、外して困ることはほとんどありません。
確認3：会員一覧のページと、ユーザーの一覧
ProfilePress で「会員一覧（Member Directory）」のページを作っているかを見ます。固定ページの一覧に、会員を並べて見せるページがあれば、それです。使っていない会員一覧のページは、更新が済むまで下書きに戻しておくと安心です。
あわせて、管理画面の「ユーザー」の一覧を開き、最近の登録日 の順に並べて見ます。
覚えのない名前やメールアドレスの「購読者」が続けて増えていないか
ニックネームや自己紹介の欄に、[ ] や記号の並んだ、ふつうではない文字が入っていないか
見つけても、すぐに消さずに、まず画面を残しておきます。ふつうの登録ミスのこともあるので、記録してから落ち着いて判断します。
確認4：バックアップを取ってから、最新まで上げる
1. サーバー会社の管理画面などで、ファイルとデータベースのバックアップ を取る
2. プラグインの一覧から ProfilePress を更新する
3. ログイン・会員登録・パスワード再設定・マイページの4つの画面を、自分で開いて確かめる
4. 試しのアカウントで登録してみて、確認のメールが届くかを見てから、そのアカウントを削除する
ここで1つ注意があります。最新の 4.18.0 からは、WordPress 6.9 以上・PHP 8.0 以上が必要 になりました（4.17.7 までは WordPress 6.0 以上・PHP 7.4 以上）。本体や PHP が古いと、更新が進まないことがあります。その場合は無理に進めず、先に WordPress 本体と PHP の版を確かめます。少なくとも 4.17.5 以降になっていれば、今回の弱点の修正は入っています。
困ったとき：画面が崩れた、ログインできなくなったとき
更新のあとでログイン画面や登録フォームが崩れたら、何度も操作をくり返さず、取っておいたバックアップに戻します。戻したあとで原因を調べます。
すぐに更新できない事情があるときは、その間だけ、確認2の「だれでもユーザー登録ができるようにする」の印を外し、会員一覧のページを下書きに戻しておく、という手があります。登録を止める間は、サイトの目立つ場所に「登録の受付を一時的に止めています」とお知らせを書いておきます。
自分で更新を始めたものの、テーマが古すぎて途中で手が止まった、というご相談もありました。一人で抱えず、順番を決めてから進めるのが近道です。
まとめ
会員プラグイン ProfilePress の 4.17.4 以前 に、ほかの会員のメールアドレスなどが見られるおそれのある弱点が公表され、4.17.5 で修正 済み。最新は 4.18.0
「だれでもユーザー登録ができるようにする」が有効だと、ログインしていない人からも使われるおそれがある。不要なら印を外す
会員一覧のページとユーザーの一覧を、更新の前に見ておく
4.18.0 は WordPress 6.9・PHP 8.0 以上が必要。古い場合は本体と PHP の版を先に確かめる
会員の名簿を守るには、だれに何が見えているかを先に知ることがいちばんの近道です。版の確認や PHP の更新に不安がある方は、下のおすすめのサービスも参考にしてください。
出典・参考
NVD（米国の脆弱性データベース）CVE-2026-92536: https://nvd.nist.gov/vuln/detail/CVE-2026-92536
WordPress.org「ProfilePress」のページ（更新履歴・必要な版）: https://wordpress.org/plugins/wp-user-avatar/
