概要
WordPressプラグイン「All-in-One Microsoft 365 & Entra ID / Azure AD SSO Login」に認証バイパスの脆弱性（CVE-2026-2628）が発見されました。
この脆弱性は、認証されていない攻撃者がシステムへの認証を回避し、他のユーザー、特に管理者としてログインすることを可能にするものです。
深刻度は「CRITICAL」（緊急）と評価されており、CVSSスコアは9.8と報告されています。
影響範囲
「All-in-One Microsoft 365 & Entra ID / Azure AD SSO Login」プラグインのバージョン2.2.5およびそれ以前の全てのバージョンが影響を受けます。
想定される影響
認証されていない攻撃者が、正規の認証プロセスを経ずにWordPressサイトにログインできる可能性があります。
特に、管理者権限を持つユーザーとしてログインされた場合、サイトのコンテンツ改ざん、情報の窃取、マルウェアの埋め込みなど、広範囲にわたる深刻な被害が発生する恐れがあります。
攻撃成立条件・悪用状況
この脆弱性は、認証されていない状態の攻撃者によって悪用される可能性があります。
現時点では、この脆弱性の具体的な悪用状況に関する情報は報告されていません。
推奨対策
今すぐできる対策（最優先）
- プラグインのアップデート: 開発元から修正版がリリースされている場合は、速やかに最新バージョンへアップデートしてください。情報によるとバージョン2.2.5以前が対象であるため、それ以降のバージョンがリリースされていれば、それが修正版である可能性が高いです。
- プラグインの利用停止または削除の検討: もし修正版が提供されていない場合、またはすぐにアップデートが困難な場合は、このプラグインの利用を一時的に停止するか、代替プラグインへの移行を検討してください。
中長期的な対策
- 代替プラグインの検討: セキュリティが十分に確保された代替のシングルサインオン（SSO）プラグインへの移行を検討してください。
- セキュリティ監視の強化: WordPressサイトへの不審なログイン試行や異常なアクティビティがないか、ログ監視を強化してください。
- 多要素認証（MFA）の導入: WordPressのログインに多要素認証を導入することで、万が一認証情報が漏洩した場合でも不正ログインのリスクを低減できます。
一時的な緩和策
- プラグインの無効化: 修正版が適用されるまでの間、当該プラグインを一時的に無効化することで、脆弱性の悪用リスクを低減できます。ただし、SSO機能が利用できなくなる点に注意が必要です。
- WordPress管理画面へのアクセス制限: .htaccessファイルやファイアウォール設定などを用いて、WordPress管理画面（wp-admin）へのアクセスを特定のIPアドレスからのみに制限することも有効な緩和策です。
確認方法
WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」の順に進み、「All-in-One Microsoft 365 & Entra ID / Azure AD SSO Login」プラグインのバージョンを確認してください。バージョンが2.2.5以下である場合、脆弱性の影響を受けます。
参考情報
- CVE-2026-2628 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-2628