はじめに：付けたきりのボタンほど、更新を忘れやすい
ページの右下に丸いボタンがあって、押すとスマホのメッセージアプリが開き、お店とそのままやり取りできる。予約や問い合わせの入口として、こうしたチャットボタンを付けているサイトは少なくありません。WordPress でこのボタンを出すプラグインの1つが Click to Chat で、60万以上のサイトで使われています。
このプラグインの 4.44 以前のすべての版 に弱点があると、米国の脆弱性データベースで2026年10月14日に公表されました。深刻度は10段階で 9.1（重大） です。
かみくだくと、次のような内容です。
一覧のページ（カテゴリーや月ごとの記事の一覧など）で、ボタンの横に出る あいさつの吹き出し に入るページのアドレスが、そのまま「ショートコード」として扱われてしまう
ショートコードは、[ ] で囲んだ短い命令で、ほかのプラグインの機能を呼び出すしくみです。これを ログインしていない人でも 勝手に動かせるおそれがある
開発元は 4.45（9月28日公開）で修正 しています。11月5日時点の最新は 4.46（10月30日公開） です。11月5日時点で、悪用が確認されたという情報は見つかっていません。
※2026年11月5日時点で公表されている情報をもとにしています。
チャットボタンは「付けた日」で止まっていることが多い
私は2016年からサイトの保守をしていて、旅行会社や整体院のサイトなど、500件以上の PHP 更新やトラブル対応をしてきました。
脆弱性のニュースを見たお客さんから「うちも急いだほうがいいのでは」と相談を受けることがあります。整体院のサイトのときは、まずサーバー会社の対応を確かめ、自作の診断ツールで事前の検証をしてから、PHP、WordPress 本体の順に上げました。慌てて触る前に、今の状態を確かめて順番を決める、というのが私のやり方です。
チャットボタンのようなプラグインは、付けた日からほとんど設定を触らないので、版の数字も見られないままになりがちです。今回は、次の順で見ていきます。
見るところ1：ボタンを出しているのは、どのプラグインか
管理画面の「プラグイン」を開き、検索欄に Click to Chat と入れます。
何も出なければ、今回の件は当てはまりません。チャットボタンは別のプラグインやテーマの機能で出ています
出てきたら、名前の下の 版の数字 を見ます。4.44 以前なら対象、4.45 以降なら修正は入っています
「停止中」で残っているなら、使っていなければ削除します
制作会社に作ってもらったサイトでは、左のメニューに「Click to Chat」の項目があるかでも見分けられます。
見るところ2：あいさつの吹き出しを出しているか
Click to Chat には、ボタンの横に「こんにちは、ご質問はこちらから」のような吹き出しを出す あいさつ表示（Greetings） があります。今回の弱点は、このあいさつ表示の中で起きます。
設定画面で、あいさつ表示が使われているか、どのひな形（Greetings 1・Greetings 2 など）を選んでいるかを見ます
使っていないなら、入口は小さいと見られます。ただ、公式は条件を細かく示していないので、どちらの場合も更新を基本 にします
すぐに更新できない事情があるときは、その間だけ、あいさつ表示をオフにするか、プラグインを停止しておきます。
見るところ3：自動更新の設定
プラグインの一覧の右の方に「自動更新を有効化」「自動更新を無効化」のどちらが出ているかを見ます。
「自動更新を無効化」と出ていれば、自動で上がる設定です。それでも版の数字が古いままなら、更新が途中で止まっている可能性があります
「自動更新を有効化」と出ていれば、手で上げるまで古いままです
自動で上がる設定にするかどうかは、サイトの事情によります。上げたあとに自分で動きを確かめる時間が取れるなら、手で上げるほうが安心な場合もあります。
見るところ4：バックアップのあとで更新し、設定画面の変化を知っておく
1. サーバー会社の管理画面などで、ファイルとデータベースのバックアップ を取る
2. プラグインの一覧から Click to Chat を最新まで更新する
3. スマホとパソコンでサイトを開き、ボタンが出ること、押すとやり取りの画面に移ることを確かめる
4. あいさつ表示を使っているなら、一覧のページでも吹き出しの文がおかしくないかを見る
ここで知っておきたいのが、最新の 4.46 では、新しい設定画面が全サイトで標準になった ことです。更新のあとで設定画面を開くと、見た目が変わっていて戸惑うかもしれませんが、設定が消えたわけではありません。慌てて設定を入れ直さず、まずはサイトの表側でボタンが動いているかを確かめます。
また、4.46 は WordPress 6.6 以上 が必要です。本体が古いと更新が進まないことがあるので、そのときは先に WordPress 本体の版を確かめます。少なくとも 4.45 以降になっていれば、今回の修正は入っています。
困ったとき：ボタンが消えた、画面が崩れたとき
更新のあとでボタンが出なくなったり、ページが崩れたりしたら、何度も操作をくり返さず、取っておいたバックアップに戻します。戻したあとで、ほかのプラグインとの組み合わせなど、原因を落ち着いて調べます。
予約や問い合わせをボタンで受けているなら、直るまでの間、トップページやお問い合わせのページに「チャットでの受付を一時的に止めています」と書いておくと、お客さんを迷わせずに済みます。
作業のあとで気づいた注意点は、私は報告書に足してお渡ししています。自分で更新する場合も、いつ・何を上げたかをメモしておくと、次に困ったときの手がかりになります。
まとめ
チャットボタンのプラグイン Click to Chat の 4.44 以前 に、ログインしていない人がショートコードを動かせるおそれのある弱点（深刻度9.1）が公表され、4.45 で修正 済み。11月5日時点の最新は 4.46
弱点はあいさつの吹き出しの中で起きる。使っているかを確かめつつ、更新を基本にする
自動更新の設定と、版の数字が本当に上がっているかを見る
4.46 は設定画面が新しくなり、WordPress 6.6 以上が必要。見た目が変わっても慌てない
付けたきりのボタンこそ、ときどき版の数字を見てあげてください。更新の順番や PHP の版に不安がある方は、下のおすすめのサービスも参考にしてください。
出典・参考
NVD（米国の脆弱性データベース）CVE-2026-92097: https://nvd.nist.gov/vuln/detail/CVE-2026-92097
WordPress.org「Click to Chat」のページ（更新履歴・必要な版）: https://wordpress.org/plugins/click-to-chat-for-whatsapp/
