WordPress向けAI連携プラグイン「AI Engine」に、MCP接続のOAuthクライアント登録を悪用される恐れがあるHIGH脆弱性「CVE-2026-110732」が公表された。影響するのは3.8.6以前で、修正版は3.8.7。管理者が不正なクライアントの接続を承認した場合、管理者権限に結び付くMCPアクセストークンが攻撃者に渡る可能性がある。
30秒でわかる / THE SIGNAL
WordPress向けAI連携プラグイン「AI Engine」に、MCP接続のOAuthクライアント登録を悪用される恐れがあるHIGH脆弱性「CVE-2026-110732」が公表された。影響するのは3.8.6以前で、修正版は3.8.7。管理者が不正なクライアントの接続を承認した場合、管理者権限に結び付くMCPアクセストークンが攻撃者に渡る可能性がある。
MCPのOAuthクライアント登録に認可不備
Wordfenceが2026年10月29日に公表したCVE-2026-110732は、WordPressプラグイン「AI Engine」の3.8.6以前を対象とする。CVSS v3.1ベーススコアは7.5で、編集部基準のHIGHに該当する。
公式の脆弱性説明によると、MCPモジュールのOAuth 2.1 Dynamic Client Registrationエンドポイントでアクセス許可の判定が不十分だった。認証していない第三者が、自分の管理するリダイレクト先を設定したOAuthクライアントを登録できる状態だったという。
管理者の承認が攻撃成立の条件
登録だけで直ちに管理者アカウントを奪えるわけではない。Wordfenceは、管理者が攻撃者側のクライアントをOAuth同意画面で承認すると、管理者に紐づくMCPアクセストークンを攻撃者が得て、MCPツール経由でユーザー作成やサイト設定変更などを行える可能性があると説明している。
同意画面にはフレーム埋め込みを制限するヘッダーが不足し、クリックジャッキングによって承認を誘導される恐れも指摘された。したがって「認証不要で無条件に乗っ取り成功」とする説明は正確ではない。
修正版は3.8.7、現在の配布版も確認
Wordfenceは修正済みバージョンを3.8.7と明記し、それ以降の修正版への更新を推奨している。WordPress.orgの公式プラグインページでは3.8.7の公開日を10月23日、10月30日時点の掲載バージョンを3.8.9と確認できる。
AI EngineのMCP機能は、AIアシスタントからWordPressの投稿・メディア・ユーザー管理などにアクセスできる仕組みである。サイト運営者はインストール済みのバージョンを確認し、該当する場合は修正版へ更新する必要がある。
AIエージェントの接続権限をどう守るか
この問題が示すのは、AIモデルそのものの欠陥ではなく、AIエージェントとWeb管理画面をつなぐ認証・認可経路の重要性だ。MCP連携では、接続先に付与する権限と、承認するOAuthクライアントの正当性がサイト管理権限に直結する。
編集部としては、更新後に接続済みクライアントや不審な承認履歴を確認することも勧める。ただし、実際の攻撃発生件数や悪用キャンペーンについては、今回確認した一次情報から断定できない。