重要ポイント
- 何が起きたか: WordPress・Joomla 向けのテーマ兼ページビルダー「YOOtheme Pro 5」に、認証なしでリモートからコードを実行できる脆弱性(CVE-2026-102785)が見つかりました
- 対象: YOOtheme Pro 5.0.0〜5.0.52(Pro 4 以前は対象外とされています)
- 悪用: 修正版の公開直後から悪用の報告があり、Palo Alto Networks の Unit 42 も実際の攻撃を観測したと伝えられています
- 対処: 5.0.53 以降へ更新。ただし更新だけでは、すでに置かれた不正なファイルは消えません
- 公開日: 修正版 5.0.53 は 2026年10月21日
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| YOOtheme Pro 5(WordPress 版・Joomla 版) | 5.0.0〜5.0.52 | 5.0.53 |
| YOOtheme Pro 4 以前 | 対象外(ベンダーの説明) | — |
対処: 管理画面の「ダッシュボード → 更新」(またはテーマの更新画面)から YOOtheme Pro を 5.0.53 以降に更新します。更新前にバックアップを取ってください。回避策は見当たらず、更新が唯一の対策とされています。
確認: 管理画面の外観(テーマ)で YOOtheme のバージョンを確認します。更新後は、画像・キャッシュ・アップロード用のフォルダ(wp-content/uploads や YOOtheme のキャッシュなど)に、身に覚えのない PHP ファイルがないかを確認してください。
概要
YOOtheme の開発元は 2026年10月21日、YOOtheme Pro 5 の画像処理機能に、認証なしでリモートコード実行につながる脆弱性(CVE-2026-102785)があるとして、5.0.53 を公開しました。公開後すぐに実際の攻撃が報告されており、WordPress サイトでも不正なファイルが置かれた例が伝えられています。5.0.0〜5.0.52 を使っているサイトは、すぐに更新し、侵害の痕跡も確認してください。
影響と対処
影響を受けるもの
YOOtheme Pro 5.0.0〜5.0.52 です。開発元は Pro 4 以前は影響を受けないとしています。WordPress 版・Joomla 版とも、同じ 5.0.53 で修正されたと説明されています(開発元の更新履歴には対象プラットフォームの明記がないため、使っている環境の更新履歴で確認してください)。
どんな問題か
画像を処理する部分の不備により、認証を受けていない第三者が、サーバー上に不正なファイルを置き、コードを実行できる恐れがあります。深刻度は CVSS で最高クラス(10.0 とする情報、9.3 とする情報があり、評価は情報源で異なります)です。攻撃の手順は書きません。
対処方法
- 5.0.53 以降に更新する(更新前にバックアップを取る)
- 更新しただけでは、更新前に置かれた不正ファイルは消えない。画像・メディア・キャッシュ・アップロードのフォルダに不審な PHP ファイルがないか確認する
- アクセスログで、更新前の期間(10月21日ごろ以降)に不審なリクエストがないか確認する
- 侵害が疑われる場合は、侵入前のクリーンなバックアップを復元し、データベースのパスワードや秘密鍵など漏えいした可能性のある情報を変更する
確認方法
管理画面でテーマのバージョンを確認します。WP-CLI が使える環境では wp theme list で YOOtheme のバージョンを確認できます(テーマのディレクトリ名は環境により異なります)。
対応チェックリスト
- YOOtheme Pro を使っているサイトを洗い出し、バージョンを確認する
- 5.0.53 以降に更新する
- アップロード・キャッシュ系フォルダに不審な PHP ファイルがないか調べる
- アクセスログを確認し、疑わしければバックアップから復元して認証情報を入れ替える
出典
- YOOtheme Pro Changelog(YOOtheme・5.0.53、2026年10月21日)
- YOOtheme Pro 5.0.53 critical RCE fix(mySites.guru・2026年10月21日、11月3日更新)
- Joomla website hacked via YOOtheme Pro(db8・被害と復旧の報告)
- JPCERT/CC 週報 2026-11-05(JPCERT/CC・2026年11月5日)
