CVE-2026-9055 は、WordPress 用プラグイン Booking for Appointments and Events Calendar – Amelia (Premium) における不適切な権限管理の脆弱性（CWE-269）であり、バージョン 8.0 から 9.6.2 に影響します。この欠陥は、顧客更新エンドポイントにおける攻撃者が制御する type パラメータの検証不足と、externalId パラメータの未チェックな処理に起因します。

Wordfence が本 CVE を採番し、2026年9月2日に公開しました（予約日は2026年5月20日）。CVSS v3.1 ベーススコアは 9.8（Critical） です：

これは、ネットワーク経由で悪用可能で、複雑性が低く、権限もユーザー操作も不要な欠陥であることを示しています。

影響を受けるバージョン

• Amelia (Premium) 8.0 – 9.6.2

修正版については、バージョン番号のみに頼らず、ベンダーの公式チェンジログで確認してください。

技術的詳細（根本原因）

この脆弱性は、顧客更新 REST エンドポイントにおけるロール割り当ての処理に存在します。高レベルで見ると（悪用手順は含みません）：

1. このエンドポイントは、サーバー側の認可状態からロールを導出するのではなく、攻撃者が供給した type 値を信頼して顧客レコードに割り当てるロールを決定します。
2. externalId パラメータが 0 に設定されている場合、ハンドラはプラグインが使用する特権的な内部ロールである wpamelia-manager ロールを持つ WordPress ユーザーの作成をトリガーします。
3. 最初のリクエストは認証を必要としないため、匿名訪問者がこの方法でマネージャーレベルのアカウントを取得できます。
4. マネージャーロールから、プロバイダーエンティティ更新フローに同様の不十分な所有権検証が再び現れます。プロバイダーレコードは、既存の管理者を含む任意の WordPress ユーザー ID にリンクでき、その後そのユーザーの認証情報を上書きできます。
5. 最終状態は完全な管理者アカウント乗っ取りであり、純粋に連鎖したロジックの欠陥によって達成されます。メモリ破壊、ファイルアップロード、コードインジェクションのプリミティブは不要です。

これは、今サイクルの複数の WordPress プラグイン CVE（例：CVE-2026-0844、CVE-2026-4021）で見られるより広範なパターンを反映しています。つまり、サーバーが保持する認可状態に対して再検証することなく、クライアント入力から権限またはロールを定義するパラメータを受け入れていることです。

攻撃チェーン（一般化）

この段階では、マクロ、ペイロードのステージング、外部 C2 インフラストラクチャは不要です。これは WordPress REST API サーフェスに限定された純粋なロジック欠陥の連鎖です。

検出ガイダンス

完全なルールセットについては detection/detection-guidance.md を参照してください。概要：

• WordPress REST API アクセスログで、Amelia の顧客更新およびプロバイダー更新エンドポイント（/wp-json/amelia/v1/...）への認証なしリクエストを監視します。
• これらのエンドポイントへの、externalId=0 の値と type フィールドを組み合わせたリクエスト、特に事前認証のないセッションからのリクエストにアラートを設定します。
• wp_usermeta / wp_capabilities を監査し、既知の管理者アクティビティ外での wpamelia-manager ロールの予期しない割り当てや administrator への昇格を検出します。
• 最近の Amelia プロバイダーエンティティの変更と相関する、管理者アカウントのパスワードリセットまたはパスワード上書きイベントにフラグを立てます。
• 新しい管理者アカウントを、Amelia プラグインのアクティビティタイムスタンプとの相関関係についてレビューします。

侵害指標

• 管理者が作成していない、ロール wpamelia-manager を持つ予期しない WordPress ユーザー。
• 正当なスタッフ・プロバイダーマッピングと一致しない、管理者ユーザー ID にリンクされた Amelia プラグインデータベース内のプロバイダーエンティティ。
• アカウント所有者からの対応するパスワードリセットリクエストがない管理者パスワードの変更。
• 正当なセッション履歴のない IP から Amelia エンドポイントにヒットする REST API ログエントリ。

緩和策

完全なチェックリストについては detection/mitigation-checklist.md を参照してください。概要：

• ベンダーが修正版をリリースしたらすぐに Amelia (Premium) をパッチ適用済みバージョンに更新します（9.6.2 以降のチェンジログを確認）。
• 即時のパッチ適用が不可能な場合は、WAF ルールで顧客/プロバイダー更新ルートへの認証なし呼び出しをブロックし、プラグインの REST エンドポイントへの公開アクセスを制限します。
• 既存のすべての wpamelia-manager および administrator アカウントを今すぐ監査します。本 CVE は2026年5月に予約されているため、悪用は公開開示より前に行われている可能性があります。
• 影響を受けるバージョンを実行しているサイトでは、予防措置としてすべての管理者アカウントの認証情報をローテーションします。
• 公式修正を待つ間、マネージド WordPress WAF による仮想パッチを検討します。

参考情報

• references/sources.md — Wordfence アドバイザリ、OffSeq Threat Radar エントリ、ベンダーのチェンジログへのリンク。

免責事項

このリポジトリは防御的および教育的目的のみで公開されています。公開された脆弱性情報開示から導出された分析、検出ロジック、緩和ガイダンスが含まれています。機能するエクスプロイトコードは提供されません。 この情報は、テストと防御を許可されたシステムでのみ使用してください。

Sentinel AI Defense が保守 · 協調的な情報開示のもとで責任を持って調査結果を共有