WordPress WebアクセシビリティプラグインAllyが、2月に重大なセキュリティ脆弱性を発見して修正しました。ページビルダーで有名 エレメント（Elementor)が提供するこの無料のプラグインは現在50万を超えるサイトで使用されており、アクセシビリティスキャンやユーザビリティウィジェットなどの便利な機能を使用してWCAG準拠をサポートしています。最近、SQLインジェクションの脆弱性が発見され、機密性の高いDB情報漏洩リスクが発生しました。
2026年2月4日、ワードフェンスバグ補償プログラムを通じてこの脆弱性（CVE-2026-2413、CVSS 7.5）が報告され、エレメンタチームが迅速に対応し、2月23日バージョン4.1.0でセキュリティ問題を解決したパッチを配布しました。 Allyプラグインを使用している場合は、必ず最新バージョンにアップデートしてください。
WordPress Web アクセシビリティに準拠するための Ally – Web Accessibility & Usability プラグイン
アリー（旧ワンクリックアクセシビリティ）は、 WordPress サイトのウェブアクセシビリティと使いやすさを向上させる無料のプラグインで、 Elementorで提供しており、2026年3月16日現在50万個を超えるサイトに設置され使用されています。
このプラグインはアクセシビリティ違反を自動スキャンし、修正ガイドを提供するAlly Assistant、訪問者が文字サイズ・色コントラスト・アニメーション・画像表示可否などを直接調整できるユーザビリティウィジェット、アクセシビリティ宣言文(Accessibility Statement)自動生成機能などを提供します。
また、高コントラストモード、フォントサイズ調整、読み取りガイド、スキップリンク、キーボードナビゲーションの強化など、さまざまなウィジェットオプションを使用してWCAGなどのアクセシビリティ基準に簡単に近づけるのに役立ちます。
| アイテム | 内容 |
|---|---|
| プラグイン名 | Ally – Web Accessibility & Usability |
| 以前の名称 | ワンクリックアクセシビリティ |
| プロバイダ（開発者） | Elementor /(旧Pojo)ベースのアクセシビリティプラグイン |
| 主な機能 | アクセシビリティスキャナ、ユーザビリティウィジェット、アクセシビリティ声明の生成、キーボードナビゲーション（ナビゲーション）の向上など |
| アクティブインストール数 | 500,000以上のサイト |
| 用途 | WordPress サイトのアクセシビリティ・使用性改善支援 |
Ally – Web Accessibility & Usabilityプラグインは Elementorが買収・再開発して管理しています。もともとPojo（One Click Accessibility）で起動されたプラグインだったが、2025年初め Elementorがこれを買収して「Ally」にリブランディングし、アップデートを主導し、 Elementor アカウント接続を必須とするなど統合運営中だそうです。
このプラグインはエレメントの買収後に評価が非常に悪くなったようです。ユーザー評価が5.0万点で現在2.9に悪い方であり、良いプラグインをエレメンタが買収した後に壊れたという意見もあり、プラグインがサイトレイアウトを壊すというレビューもありますね。 Webアクセシビリティのためにこのプラグインをインストールする場合は、インストール後にサイトのレイアウトや機能に問題がないかどうかを確認してください。
SQL Injectionの脆弱性の発見
2026年2月、Allyプラグイン（バージョン4.0.3以降）で認証なしで悪用可能なSQLインジェクションの脆弱性（CVE-2026-2413）が報告されており、CVSS 7.5（高）グレードで高リスクの脆弱性に対応しています。
この脆弱性は、Remediation モジュールが有効になっている環境で、現在のページ URL を使用する get_global_remediations() メソッドが URL パス値を SQL JOIN 構文にそのままつなげて発生します。コード上でesc_url_raw（）でURLをフィルタリングしますが、これはSQLコンテキスト内の特殊文字（引用符、括弧など）を中和できないため、攻撃者がURLにSQLメタ文字を挿入して追加のクエリを注入する可能性があります。
攻撃者はこのセキュリティの脆弱性を悪用して、Time-based Blind SQLインジェクション技術（CASEとSLEEP（）の組み合わせなど）を使用することで応答遅延時間を監視し、データベースからパスワードハッシュなどの機密情報を徐々に抽出する可能性があります。
この脆弱性は、 Elementor アカウント接続により、Remediationモジュールが有効になっているサイトで特に危険であり、Wordfenceなどでこれを高リスクの脆弱性に分類しています。
Elementorはこの問題を WordPress wpdb->prepare() 関数を活用して URL パラメータを安全にバインドする方法で修正したとします。このプラグインがインストールされている場合は、セキュリティの問題が修正されたAllyバージョン4.1.0以降にアップデートしてください。
WordPress セキュリティ上の問題
WordPressはセキュリティに強い方ですが、アップデートを無視したり、セキュリティ脆弱性が存在するプラグインを使用するなど、セキュリティに気を使わないとサイトがハッキングされたりマルウェア（マルウェア）に感染することがあります。
可能であれば1） WordPress コア、テーマ、プラグインを常に最新バージョンに更新して最新の状態に保ち、2）定期的にバックアップしてPCに保存し、3）セキュリティプラグインをインストール（オプション）してセキュリティを強化できます。
セキュリティが懸念される場合は、クラウドフレアと連携して悪意のあるIPやスパムボットをブロックすることを検討してください。
このブログは最近、悪意のあるIPとスパムボット（SEOボット）の大量流入のためクラウドフレアと連動して防御したが、サイトレイアウトが壊れる問題が発生し、クラウドフレアとの連動を解除して現在は クラウドウェイズのファイアウォールを介して悪意のあるIPをブロックし、.htaccessとrobots.txtファイルを介してスパムボットが侵入しないようにコードを追加しました。
クラウドウェイズファイアウォールを介して特定のIPを許可またはブロックすることができ、特定の国（中国、香港など）をブロックすることも可能です。
コメントを残す