WordPressプラグイン「Jupiter X Core」に、X（Twitter）ログイン経由で管理者を乗っ取られる脆弱性（CVE-2026-106013）
この記事を約3分で解説
WordPressのテーマ「Jupiter X」と一緒に使う必須プラグイン「Jupiter X Core」に、深刻な脆弱性（CVE-2026-106013）が見つかりました。
X（旧Twitter）のアカウントでログインする機能を悪用すると、ログインしていない第三者が、サイトの管理者アカウントに入れてしまうおそれがあります。深刻度はCVSS 9.8で、最も深刻な区分です。
SNSでも「認証なしで管理者アカウントを乗っ取れる」と話題になっています。この記事では、SNSで出回っている情報をCVEの公式記録やプラグインのソースコードと照らし合わせて確認し、影響を受ける条件と、サイト運営者がやるべきことをまとめます。
この記事は2026年10月29日時点の公開情報をもとに作成しています。最新情報は記事末尾の参考情報もあわせてご確認ください。
まず結論：Jupiter Xを使っているサイトの運営者がやること
- Jupiter X Coreを4.62.0以降に更新する（管理画面の「プラグイン」でバージョンを確認）
- すぐに更新できない場合は、Xログイン用のAPIキーの設定を消す
- 見覚えのないユーザーや、不審なログインがないかを確認する（特に、X連携の設定をしていたサイト）
「Jupiter Xを使っているか分からない」「更新して表示が崩れないか不安」という方へ
C-TechLabでは、プラグインの確認・更新から、不正アクセスの調査まで代行しています。初回のご相談は無料です。
Jupiter X Coreとは
Jupiter Xは、Artbees社が提供しているWordPressの有料テーマです。デザインの自由度が高く、企業サイトやネットショップの制作によく使われています。
Jupiter X Coreは、このテーマの機能（ページを作るための部品、ヘッダーやフッターの作成、フォームなど）を動かすための必須プラグインです。WordPress公式のプラグインディレクトリでは、7万件以上のサイトで有効化されています。
制作会社に作ってもらったサイトでは、運営者自身がJupiter Xを使っていると知らないこともあります。管理画面の「外観」→「テーマ」や「プラグイン」で、Jupiter X／Jupiter X Coreの名前がないかを確認してください。
何が起きたのか
脆弱性の概要
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-106013 |
| 対象 | Jupiter X Core 4.61.0以前のすべてのバージョン |
| 修正版 | 4.62.0（2026年10月22日公開） |
| 深刻度 | CVSS 3.1で9.8（緊急） |
| 必要な条件 | ログイン不要。サイト側でXログイン用のAPIキーを設定していること |
| 発見・公表 | 研究者daroo氏が発見し、WordPressのセキュリティ企業Wordfenceが公表 |
CVEの公式記録によると、Wordfenceが開発元に連絡したのは10月6日です。開発元は10月22日に修正版を出し、10月27日に公表、10月28日にCVEとして公開されました。
仕組み：サイト側の鍵で本人確認をしてしまっていた
Jupiter X Coreには、サイトの訪問者がXのアカウントでログインしたり会員登録したりできる「ソーシャルログイン」の機能があります。本来は、次の流れで動きます。
- 訪問者がXで「このサイトにログインを許可する」と承認する
- サイトは、その訪問者の許可証（アクセストークン）をXから受け取る
- その許可証を使って、Xに「この人は誰か（メールアドレスなど）」を問い合わせる
- 同じメールアドレスのWordPressのアカウントでログインさせる
ところが4.61.0以前では、2で受け取った訪問者の許可証を使わずに、サイトの管理者が設定画面に保存していた許可証のまま、3の問い合わせをしていました。
その結果、Xから返ってくるのは訪問者ではなく、Xのアプリを作った人（多くはサイトの管理者）の情報になります。プラグインはそのメールアドレスと一致するWordPressのアカウントでログインさせてしまうため、どんな人がXでログインしても、管理者としてログインできてしまうという状態でした。
修正版の4.62.0では、訪問者の許可証に切り替えてから問い合わせる処理と、返ってきたXアカウントが本当にログインした本人かを照らし合わせる確認が追加されています。
影響を受ける条件
すべてのJupiter Xサイトが危険なわけではありません。次の条件に当てはまるサイトが対象です。
- Jupiter X Coreが4.61.0以前
- Xログイン用のAPIキーとアクセストークンを、管理画面の「X API Details」欄に設定している
注意したいのは、ログインフォームをページに置いていなくても、APIキーが設定されていれば影響を受ける可能性がある点です。ソースコードを確認したところ、Xログインの処理はページを開くたびに呼び出される仕組みになっていて、フォームを置いたページかどうかに関係なく動きます。「昔試しに設定して、そのままにしている」というサイトも対象になります。
また、Xのアプリを作った人のメールアドレスが、WordPressのどのアカウントとも一致しない場合でも安全ではありません。その場合はそのメールアドレスで新しいアカウントが自動で作られ、ログインした状態になります。
SNSの情報をファクトチェック
今回の脆弱性は、X上でも「인증 없이 관리자 계정을 탈취할 수 있는 취약점（認証なしで管理者アカウントを奪える脆弱性）」として拡散されています。投稿の主な主張を、CVEの公式記録とプラグインのソースコードで確認しました。
| 投稿の主張 | 確認結果 |
|---|---|
| 認証なしで管理者アカウントを乗っ取れる | おおむね正しい。ログインは不要。ただし、Xログインの設定をしていること、Xアプリの作成者と管理者のメールアドレスが同じことが条件。投稿でも「場合によっては」と書かれている |
| 10月28日に公開、CVSS 9.8 | 正しい。CVEの公開は10月28日（日本時間10時30分ごろ）。Wordfenceの公表は10月27日 |
| 原因はXのソーシャルログインでのOAuthトークンの扱いの誤り | 正しい。訪問者のトークンに切り替える処理（setOauthToken）が抜けていたことを、4.60.0と4.62.0のソースコードの比較で確認 |
| ログインした本人ではなく、Xアプリの所有者のメールアドレスのアカウントで認証される | 正しい |
| 修正版は4.62.0 | 正しい。4.62.0は10月22日に公開済みで、更新履歴にも「セキュリティの問題を修正」とある |
SNSの投稿としては正確な内容でした。一方、海外の脆弱性情報サイトの中には「攻撃コード（PoC）が公開されている」と表示しているものもありますが、中身は脆弱性の説明文だけで、実際に使える攻撃コードは確認できませんでした。10月29日時点で、実際の攻撃に悪用されたという報告もありません。
ただし、仕組みが単純で、修正前後のソースコードを比べれば原因がすぐ分かる種類の脆弱性です。今後、攻撃に使われる可能性は高いと考えて、早めに更新してください。
Jupiter X Coreは過去にも同じ種類の脆弱性
Jupiter X Coreのソーシャルログイン機能では、2024年にも、ログインせずにほかの利用者（管理者を含む）としてログインできる脆弱性（CVE-2024-7781）が見つかっています。このときは修正が一度で終わらず、4.7.5で一部、4.7.8で完全に修正されました。
ソーシャルログインは便利な反面、「誰としてログインさせるか」を決める重要な処理です。使っていない機能は設定ごと消しておく、プラグインは常に最新にしておく、という基本がここでも大切になります。
対処法
1. Jupiter X Coreを4.62.0以降に更新する
管理画面の「プラグイン」でJupiter X Coreのバージョンを確認し、4.62.0以降に更新してください。自動更新を有効にしていれば、すでに更新されている場合もあります。
Jupiter Xはテーマとプラグインの組み合わせで動くため、更新の前にはバックアップを取り、更新後にサイトの表示やフォームが正しく動くかを確認しましょう。テーマを長く更新していないサイトでは、プラグインだけ新しくすると表示が崩れることもあります。不安な場合は、検証用の環境で試してから本番に反映するのが安全です。
2. すぐに更新できない場合は、APIキーを消す
Xログインを使っていない、またはしばらく止めても問題ない場合は、管理画面の「X API Details」欄に保存しているAPIキーとアクセストークンを削除してください。キーがなければ、今回の処理は成立しません。
Xログインの機能を使い続けたい場合は、更新が終わるまで一時的に止めることを検討してください。
3. 不正なログインがないかを確認する
Xログインの設定をしていたサイトでは、更新したあとに次の点を確認してください。
- ユーザー一覧：見覚えのないアカウントや、最近作られたアカウントがないか（特に管理者権限のもの）
- ログイン記録：セキュリティ系のプラグインでログイン履歴を残している場合は、心当たりのないログインがないか
- サイトの変更：見覚えのないプラグインやテーマが追加されていないか、ページが書き換えられていないか
不審な点が見つかった場合は、管理者のパスワードを変更し、ほかのユーザーのセッションをすべてログアウトさせたうえで、専門家に相談してください。WordPressが狙われる理由と基本の対策は「WordPressはセキュリティ的に危険？」でも解説しています。
C-TechLabにできること
C-TechLabでは、WordPressサイトの保守・セキュリティ対策をお引き受けしています。
- 影響の確認：Jupiter X CoreのバージョンやXログインの設定状況を確認します
- 安全な更新作業：バックアップを取り、検証用の環境で表示を確認してからテーマ・プラグインを更新します
- 不正アクセスの調査：ユーザーの一覧やログイン記録、ファイルの変更を確認し、乗っ取りの痕跡がないかを調べます
- 継続的な保守：脆弱性の情報を見張り、必要な更新を代わりに行います
「制作会社にサイトを作ってもらったが、何のテーマを使っているか分からない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。詳しくはホームページ運用保守・バージョンアップのページもご覧ください。
よくある質問
Jupiter Xを使っていれば、必ず影響を受けますか？
いいえ。影響を受けるのは、Jupiter X Coreが4.61.0以前で、かつ管理画面の「X API Details」欄にXログイン用のAPIキーとアクセストークンを設定しているサイトです。ただし、ログインフォームをページに置いていなくても、キーが設定されていれば影響を受ける可能性があります。いずれにしても、4.62.0以降への更新をおすすめします。
Xログインのボタンをページに置いていません。安全ですか？
安全とは言い切れません。Xログインの処理はページを開くたびに呼び出される仕組みのため、ボタンを置いていなくても、APIキーが設定されていれば悪用される可能性があります。使っていない場合は、APIキーの設定を削除してください。
実際に攻撃されているのですか？
2026年10月29日時点で、実際の攻撃に悪用されたという報告は確認できていません。ただし、仕組みが単純で、修正前後のソースコードを比べれば原因が分かるため、今後攻撃に使われる可能性は高いと考えられます。早めの更新をおすすめします。
更新すれば、ほかに何もしなくて大丈夫ですか？
更新で今後の攻撃は防げますが、更新前にすでに入られていた場合は、その痕跡は残ります。Xログインの設定をしていたサイトでは、見覚えのないユーザーや不審な変更がないかもあわせて確認してください。
Jupiter X Coreの更新で、サイトの表示が崩れることはありますか？
テーマを長く更新していない場合などは、表示が崩れることがあります。更新前にバックアップを取り、更新後に主なページやフォームを確認してください。不安な場合は、検証用の環境で試してから本番に反映するのが安全です。
参考情報
- CVE.org「CVE-2026-106013」（2026年10月28日公開）
- Wordfence「Jupiter X Core <= 4.61.0 - Unauthenticated Authentication Bypass via Twitter/X Social Login oauth_verifier Parameter」
- WordPress.org「Jupiter X Core」（プラグインのページ・更新履歴）
- WordPress.org「修正内容の差分（changeset 3759312）」
- NVD「CVE-2024-7781」（2024年のソーシャルログインの脆弱性）
- X「@selentia01の投稿」（2026年10月28日、韓国語）
