2026/11/13

WordPressプラグイン「QA Assistants」の重大な脆弱性と弊社の対応について

平素より弊社サービスをご利用いただき、誠にありがとうございます。

2026年11月、WordPressのアクセス解析プラグイン「QA Assistants」（旧名称：QA Analytics）において、第三者による不正なファイルの設置や任意のコード実行につながる重大な脆弱性（CVE-2026-87112）が公表されました。

本脆弱性については、サーバー会社からも注意喚起が行われており、影響を受けるプラグインに対して緊急的な利用制限が実施されています。

本件を受けまして、弊社における対応について、以下のとおりお知らせいたします。

本件の概要

今回の脆弱性は、WordPressプラグイン「QA Assistants」の計測データ受信処理に関する不備により、第三者が不正なファイルを設置したり、サーバー上で任意のコードを実行したりするおそれがあるものです。

WordPressへのログインや認証を必要とせず悪用される可能性があり、ホームページの改ざんや不正なプログラムの設置などにつながる危険性があります。

影響を受けるバージョンは、以下のとおりです。
・対象プラグイン：QA Assistants（旧名称：QA Analytics）
・影響を受けるバージョン：5.3.0以前
・脆弱性識別番号：CVE-2026-87112
・修正版：5.3.0.3以降

なお、該当するプラグインが設置されているすべてのホームページで、不正アクセスや改ざんが発生したというものではありません。

弊社の対応について

今回、弊社が保守管理を行っているホームページの一部において、サーバー会社より該当プラグインに関する通知を受けました。

サーバー会社では緊急措置として、対象プラグインのフォルダのパーミッションを「000」に変更し、プラグインが動作しないよう制限を実施していました。

弊社では、サーバー会社からの通知内容を確認し、該当プラグインの利用状況に応じて、削除等の対応を進めております。
また、対応を実施したホームページについては、FTP上に不審なコードやファイルが設置されていないか、目視による確認も行っております。
なお、目視による確認は、すべてのファイルやプログラムの安全性を完全に保証するものではありません。

今後も対象となるホームページが確認された場合には、状況に応じて適切に対応してまいります。