WordPressプラグイン「QA Assistants」における脆弱性（CVE-2026-87112）に関する注意喚起について
2026/11/10
いつもロリポップをご利用いただき、ありがとうございます。
このたび、WordPressのアクセス解析プラグイン「QA Assistants」（旧名称：QA Analytics）において、プラグインの計測データ受信処理における不備により、第三者によって任意のファイルの設置やリモートコード実行（ホームページの改ざん・乗っ取りや不正プログラムの設置など）が行われるおそれがある重大な脆弱性（CVE-2026-87112）が公表されました。
本脆弱性は認証やログインを必要とせず悪用される可能性があり、ロリポップにおきましても本脆弱性を悪用したとみられる攻撃を確認しております。
「QA Assistants」（旧名称：QA Analytics）をご利用のお客様は、以下をご確認のうえ、至急対策をお願いいたします。
対象のプラグイン・バージョン
| 製品 | WordPressプラグイン「QA Assistants」（旧名称：QA Analytics） |
|---|---|
| 対象のバージョン | 5.3.0 以下 |
| 修正版 | 5.3.0.3 以上（最新版） |
対策方法
WordPressの管理画面（「プラグイン」→「インストール済みプラグイン」）から「QA Assistants」（または「QA Analytics」）の有無とバージョンをご確認いただき、対象のバージョンをご利用の場合は、至急以下の対応をお願いいたします。
- 最新版（5.3.0.3 以上）へアップデートする
- WordPress管理画面の「プラグイン」または「更新」画面から、修正版であるバージョン「5.3.0.3」以上へアップデートしてください。
- 不審なファイルや設定変更がないか確認する
- サーバー内（プラグインのフォルダ wp-content/plugins/qa-heatmap-analytics やWordPressの設置ディレクトリ等）に、心当たりのない不審なファイルが設置されていないか
- WordPress管理画面の「ユーザー」一覧に、心当たりのない管理者アカウントが追加されていないか
- ホームページのコンテンツや設定に身に覚えのない書き換えがないか
- ※ プラグインを無効化（停止）している状態でも、サーバー上に該当バージョンのファイルが存在すると悪用されるおそれがあります。現在ご利用になっていない場合は、最新版へアップデートするか、プラグインを削除してください。
関連情報
- （外部サイト）NVD - CVE-2026-87112
- （外部サイト）QA Assistants – Driven by data – WordPress プラグイン | WordPress.org 日本語
- ※ プラグイン自体の仕様や操作方法の詳細につきましては、プラグイン提供元の案内をご確認ください。
大切なホームページへの被害を防ぐため、ご確認と早急なご対応をお願いいたします。
カテゴリー: 新着情報