Grand Jobに管理者乗っ取りの脆弱性、修正版なし
WordPressプラグインGrand Jobの1.2.1以前に、ログイン不要で管理者を含む任意のアカウントのパスワードを書き換えられる脆弱性があります。修正版は確認されていないため、利用中のサイトはプラグインを止め、管理者アカウントとログを点検してください。
急ぎ度: 至急
CVSS v3が9.8で管理者アカウントごと乗っ取られるおそれがあり、WPScanの記録では修正版も確認されていないためです。
関係があるか
WordPressサイトにGrand Jobプラグインを入れている組織が対象です。求人や採用用のサイトに限らず、このプラグインが入っていれば、サイト全体の管理権限が奪われる可能性があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Grand Job（WordPressプラグイン、スラッグ grand-job） | 1.2.1以前のすべての版 | 修正版は確認されていません（WPScanはNo known fixと記載） |
確かめ方
- 1WordPressの管理画面で、プラグインの一覧にGrand Jobがあるか、あれば版が1.2.1以前かを確認します。
- 2サーバーにSSHで入れる場合は、
wp plugin listで一覧を見るか、wp plugin get grand-job --field=versionで版を確認します。 - 3サイトを複数運用しているときは、制作会社や保守業者が入れたものも含めて、すべてのサイトで同じ確認をします。
- 4プラグインのディレクトリ（wp-content/plugins/grand-job）が残っていないかも見ます。管理画面に出ないサイトや、一覧に出ない古い環境でも、ファイルが残っていることがあります。
何が起きたか
Grand Jobは、パスワード再設定の際に送られるコードを正しく検証しないまま、ユーザーのパスワードを更新してしまいます。その結果、管理者を含む任意のアカウントのパスワードを書き換えられ、サイトを乗っ取られるおそれがあります。
CWEは、認証の不備を示すCWE-287です。WPScanはこの問題を認証バイパスに分類し、検証済みとして登録しています。
WPScanでの公開は2026年11月6日で、CVEの記録は11月9日に公開されました。WPScanの記録では、修正版は見つかっていません。
攻撃の流れ
-
1
サイトに到達
インターネット経由で、Grand Jobを導入したWordPressサイトにアクセスします。
-
2
検証をすり抜け
パスワード再設定のコード検証が不十分なため、正規の持ち主でなくても処理が進みます。
-
3
パスワード変更
管理者を含む任意のアカウントのパスワードが、攻撃者の望む値に書き換えられます。
-
4
サイト乗っ取り
攻撃者が管理者としてログインし、サイト全体を操作できる状態になります。
どう悪用されるか
認証は不要です。CVSSのベクターはAV:N/AC:L/PR:N/UI:Nで、インターネット越しに、特別な権限も利用者の操作もなく、低い難度で悪用できると評価されています。サイトの管理者や従業員が何かを開いたりクリックしたりする必要はありません。
悪用されると、管理者アカウントのパスワードを奪われ、サイトの内容・設定・保存されたデータを閲覧、改ざん、削除される可能性があります。機密性・完全性・可用性はいずれも「高」の評価です。
今すぐやること
-
1
導入の有無と版を確認する
管理画面かコマンドで、Grand Jobが入っているか、版が1.2.1以前かを確認します。複数のサイトを運用している場合は、すべてを対象にします。
wp plugin get grand-job --field=version -
2
プラグインを無効化し、削除する
修正版が確認されていないため、更新で直す手は今のところありません。作業の前にファイルとデータベースのバックアップを取り、プラグインを無効化して削除します。求人機能などが必要なら、別のプラグインや仕組みへの移行を並行して進めます。
-
3
管理者アカウントを点検する
見覚えのない管理者がいないか、メールアドレスやパスワードが勝手に変わっていないかを確認します。確認が終わったら、全管理者のパスワードを変更し、ログイン中のセッションを破棄します。
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered -
4
公開後のログを調べる
WPScanでの公開は2026年11月6日です。アクセスログと管理画面の操作履歴で、パスワード再設定まわりへの不審なアクセス、身に覚えのない管理者の作成、プラグインやテーマの追加・変更がないかを見ます。痕跡があれば、侵害前のバックアップへの復旧も検討します。
-
5
開発元の告知を確認する
WordPress.orgのプラグインページやベンダーの告知で、修正版が出たかを確認します。修正版が出ても、点検が済むまでは再導入しません。
修正版がないあいだのつなぎ
プラグインをすぐに外せないときのつなぎとして、サイト全体にIPアドレス制限かBasic認証をかけ、外部の不特定多数から到達できないようにします。WAFを使っている場合は、パスワード再設定まわりのリクエストを絞る設定を検討してください。いずれも暫定の対応で、根本的な解決にはなりません。
背景
WordPressのプラグインは、サイト本体と同じ権限でPHPコードとして動きます。1つのプラグインの認証処理に穴があれば、そこがサイト全体の入口になります。パスワード再設定は、メールを受け取れる本人かどうかを確かめて、パスワードを変える機能です。この確認が働かないと、再設定の機能がそのまま乗っ取りの手段に変わります。
WPScanの同じ一覧には、2026年6月公開のAbandoned Cart Lite for WooCommerceや、2026年8月公開のSimple JWT Loginなど、認証なしでアカウントを乗っ取れる脆弱性が並んでいます。再設定用のリンクやトークンといった本人確認の仕組みの検証不足は、WordPressのプラグインでたびたび見つかるタイプです。今回はその中でも、修正版が確認されていない点が重くのしかかります。
よくある質問
Q.プラグインを削除する前に、何をしておくべきですか。
Q.不審な管理者を消してパスワードを変えれば、それで終わりですか。
まだ分かっていないこと
- 開発元が修正版を出す予定や時期は、公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録Grand Job |
1.2.1 以前→ 記載なし |
記載なし |
| CVE の記録Grand Job |
1.2.1 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Grand Job WordPress plugin through 1.2.1 does not correctly verify the password reset code before updating a user's password, allowing unauthenticated attackers to set the password of arbitrary accounts, including administrators, and fully take over the site.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com