WordPressのQode Membership 2.0.6.2以前でFacebook認証処理の検証不備（CVE-2026-92885、CVSS 9.8）。未認証の攻撃者が既存ユーザーになりすます恐れ。2.0.6.3へ更新。
30秒でわかる / THE SIGNAL
WordPressのQode Membership 2.0.6.2以前でFacebook認証処理の検証不備（CVE-2026-92885、CVSS 9.8）。未認証の攻撃者が既存ユーザーになりすます恐れ。2.0.6.3へ更新。
Facebook認証の検証不備
Qode Membershipの2.0.6.2以前ではソーシャルログイン処理に認証検証不備があり、未認証の攻撃者が管理者を含む既存ユーザーとしてログインできる可能性が報告された。CVE-2026-92885のCVSSは9.8（CRITICAL）。WordPress全体の一般的なFacebookログイン機能に一律の影響があるという意味ではない。
対応
開発元の修正版2.0.6.3以降へ更新し、管理者権限のアカウント、ログイン履歴、不審な設定変更を点検する。現時点で実際の悪用確認はない。一次情報：https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/qode-membership/qode-membership-2062-authentication-bypass-via-social-login
WORK SIGNALの視点
外部ID連携では本人確認結果の検証が必須となる。便利なソーシャルログインの実装不備がサイト全体の管理権限に波及する事例として注意したい。