WordPress キャッシュプラグの1つであるBreezeで致命的なセキュリティ脆弱性が発見され、最近パッチが発生しました。まだアップデートされていないサイトを対象に、すでに攻撃者がリモートコード実行（remote code execution）の形で悪用していると報告されていますので、このプラグインを使用している場合は必ず最新バージョンにアップデートしてください。
この記事では、Breeze Cacheの脆弱性について簡単に紹介し、 WordPress オペレータが確認する必要があるセキュリティチェックについても見てみましょう。
WordPress キャッシュプラグインでセキュリティ問題を発見
WordPress セキュリティ専門会社 ワードフェンス(Wordfence)Breeze Cacheプラグインで致命的な脆弱性が発見され、すでに攻撃者が実際に悪用していることを警告しています。この脆弱性は CVE-2026-3844と分類され、重大度は9.8点と非常に高く評価された状態です。
今回のセキュリティ問題は単なる理論的攻撃ではなく、実際のサイトで攻撃が確認されたという点で特に注意が必要です。
Breeze Cacheプラグインとは何ですか？
Breeze Cacheはクラウドウェブホスティング会社です クラウドウェイズによって開発された WordPress 専用キャッシングプラグインで、サイトローディング速度を効果的に向上させます。キャッシュとは、頻繁に要求されるページやデータをあらかじめ保存しておき、必要に応じてすぐに提供する技術で、サーバーの負荷を減らすと同時に訪問者が体感する速度を大幅に改善します。
このプラグインは（2026年5月現在）40万を超えるサイトにインストールされ使用されており、Cloudwaysで WordPressをインストールすると、デフォルトで一緒にインストールされます。
どのような脆弱性ですか？
Breeze Cacheプラグインファイルのアップロードに関連する脆弱性である今回の脆弱性 CVE-2026-3844は「ファイルアップロードの検証不足によるリモートコードの実行「タイプの問題です。簡単に言うと、サーバーにアップロードされたファイルを検証する過程で抜け穴があり、攻撃者が意図したファイルをアップロードできるようにするセキュリティの脆弱性です。
特にこの脆弱性は 「Host Files Locally - Gravatars」 機能が有効になっていると、より危険になります。この機能は外部から読み込んだアバターイメージをサイトのサーバーサイドに保存し、より速く見せる機能をしますが、この過程でファイル形式や内容を十分に検査しないため、悪意のあるファイルが割り込むことができる構造でした。
脆弱性タイプの詳細情報
- 脆弱性名称： CVE-2026-3844 – Breeze Cache ファイルアップロード検証の欠如の脆弱性
- 分類： リモートコード実行（RCE）対応ファイルアップロードの脆弱性
- 詳細な説明：
- サイトが「許可されたファイルだけを受け取らなければならない」というルールをきちんと守ることができず、攻撃者が意図的に作成したファイルをサーバーに載せることができる脆弱性です。
- このファイルがサーバー上で実行されると、攻撃者はサイトを自由に操作しようとする可能性があります。
このように、この脆弱性は単なる「設定エラー」ではなく、 攻撃者がサーバーサイドに直接ファイルをアップロードする可能性を内包する深刻なタイプの脆弱性です。
ファイルアップロードの脆弱性は、表面的には単純な機能問題のように見えますが、実際には非常に危険です。攻撃者がサーバーに目的のファイルをアップロードできるようになると、そのファイルを介してサイト内でコマンドを実行したり、管理者権限を狙ったりする可能性があります。
影響を受けるサイトおよび対応方法
この問題は Breeze Cache プラグインを使用する WordPress サイトの中でも、その機能が有効になっているサイトではリスクが高くなります。しかし、この脆弱性を悪用した攻撃がすでに確認されていることを考慮すると、機能を使用するかどうかに関係なく、Breezeをインストールしたサイトは バージョン確認と確認が必要します。
ちなみに、「Host Files Locally - Gravatars」オプションはデフォルトで無効になっています。私はコメントがたくさんあり、この機能を有効にしています。
この脆弱性は、 バージョン2.4.5で修正されました。したがって、Breezeキャッシュプラグインを最新バージョンに更新してください。アップデート後は、既存の設定をそのまま使用しても、脆弱性自体は解決された状態になります。
可能であれば、すべてのプラグインを自動更新するように設定することが望ましいです。 プラグイン » インストールしたプラグインですべてのプラグインを選択し、 バッチアクション ドロップダウンから 自動更新を有効にするを選択して、 適用 ボタンを押すと、すべてのプラグイン（有料プラグインを除く）に対して自動更新が有効になります。
アップデートが難しい場合は、
- Breezeプラグイン 一時的に無効や、
- 特に「Host Files Locally - Gravatars」などの関連機能を 使用しないようにするこれも安全対策です。
セキュリティチェックポイント
- Breeze Cacheのバージョンを最新に更新したことを確認する
- Breeze Cacheプラグインを使用している場合は、現在インストールされているバージョンが 2.4.5以上であることを確認してください。 （2026年5月6日現在の最新バージョンは2.4.7です。）
- 2.4.5未満の場合、 WordPress 管理者ダッシュボードから直接 最新バージョンにアップデートしてください。
- 更新後にサイトに異常がないかどうかを確認してください。
- 「Host Files Locally - Gravatars」オプションの確認
- Breezeキャッシュ設定で「Host Files Locally - Gravatars"オプションが有効になっていることを確認してください。
- この機能は、外部のアバターイメージをサーバーに保存して素早く表示する機能ですが、この脆弱性の攻撃パスにもなることがあります。
- コメント機能が無効になっている場合、またはコメントがあまりない場合は、このオプションを無効にすることを検討してください。 （私はコメントが多いので、このオプションを現在アクティブにしています。）
- 最近のファイルのアップロードとアップロードフォルダの確認
- WordPress 側から アップロードされたファイルのリストを確認してください。
- 予期しないファイル拡張子（.php、.php5などのスクリプトファイル）や見知らぬ名前のファイルがある場合は、 삭제して、サイトに異常の兆候（管理者ログイン失敗、奇妙なページなど）があるかどうかを確認します。
- 管理者アカウントと権限の再確認
- 管理者アカウントは、可能であれば1つだけを維持することをお勧めします。複数の管理者アカウントがある場合は、1つだけを維持し、残りを別の役割（「編集者」など）に変更することを検討してください。
- パスワードは複雑に変更し、可能であれば 2段階認証（2FA）を追加します。
- 自分だけでログインしている端末の場所が何箇所もない場合（たとえば、自宅や会社でのみログイン）、特定のIPだけがログインできるようにコードを追加することも検討できます。 👉」WordPressで特定のIPでのみログインできるようにする「注。
- WordPress コアとテーマ・プラグインともに最新維持
- テーマとプラグインの自動更新を有効にすると便利です。
- セキュリティプラグインで追加の保護装置を用意
- Wordfence、Sucuriなど WordPress セキュリティプラグインをインストールすると、セキュリティが向上する可能性があります。
- ただし、セキュリティプラグインのインストール後にサイトの速度に影響がある可能性があります。 （ある方は日中は消し、夜間のみセキュリティプラグインをオンにするのも一つの方法だそうです。普通の攻撃は夜や週末、休日にたくさん行われます。）
- 定期的なバックアップ状態の確認
- 最小限の必要なプラグインのみを保持
- WordPressからプラグインをインストールするたびに、次の質問をしてください。
- このプラグインは本当に必要ですか？
- 活発にアップデートになっているか？
- 外部ファイルの保存、画像のアップロード、サーバーの実行機能が含まれていますか？
- 機能が多ければ多いほど、セキュリティ責任も大きくなることを覚え、 必要な最小限のプラグインのみを保持することはセキュリティにとって有利です。
- WordPressからプラグインをインストールするたびに、次の質問をしてください。
👉 WordPress マルウェア感染を含む WordPress またはWebホスティング関連の問題で解決するのが難しい場合 ここでサービス（有料）をご依頼することができます。
コメントを残す