AI Engineに脆弱性発覚、偽のAIアプリを承認させられると管理者の権限でサイトを操作されるおそれ

OVERVIEW

WordPress に AI のチャットや AI アプリとの接続を足すプラグイン AI Engine の AI Engine 3.8.6 以前に、ログインしていない人が用意した偽の AI アプリを管理者が承認すると、その管理者の権限でサイトを操作されるおそれがある脆弱性 CVE-2026-110732 が記録されました。対象は、Claude や ChatGPT などの AI アプリをサイトにつなぐ「MCP」の機能をオンにしているサイトです。

原因は、誰でも登録できる AI アプリの接続を承認ボタン1回で守っていたのに、その承認画面を別のサイトの中に埋め込めたことです。修正は AI Engine 3.8.7 に入っていて、2026年11月6日時点の現行は AI Engine 3.9.1 です。

この記事では、AI Engine の MCP の接続のどこに穴があったのかと、開発元がそれをどう塞いだのかを書きます。根拠にしたのは、公開された脆弱性の記録、開発元の変更履歴、それに WordPress.org で配られている AI Engine 3.8.6 と AI Engine 3.8.7 のコードです。

AI Engineとは

AI Engine は、サイトに AI のチャットボットを置いたり、文章や画像づくり、フォーム、サイト内検索に AI を使えるようにしたりするプラグインです。作者は Meow Apps の Jordy Meow さんで、WordPress.org では2022年12月から配られ、有効インストールは9万以上です。

もう一つの柱が MCP（Model Context Protocol）です。MCP は、Claude や ChatGPT のような AI アプリが外のサービスを読み書きするための共通の決まりで、AI Engine はサイトをその接続先にします。つなぐと AI アプリから投稿の作成や編集、メディア、コメント、ユーザー、メニューなどを扱え、WordPress.org の説明では無料版だけで140を超える操作を用意しています。

AI アプリにサイトの操作を任せる入口なので、誰の権限でつながっているかがそのまま安全に響きます。

AI Engine 3.8.6以前では、偽のAIアプリを管理者に承認させると、管理者の権限でサイトを操作できた

CVE-2026-110732 の記録によると、AI Engine 3.8.6 以前の MCP には、ログインしていない人が自分のアプリを AI アプリとして登録できる入口がありました。承認のあとにブラウザを戻す先の住所も、登録する人が自由に決められます。この入口が動くのは、AI Engine の設定で MCP をオンにしているサイトだけです。

登録しただけでは、まだ何も起きません。サイトの管理者がそのアプリを承認画面で承認すると、管理者のアカウントに結び付いた合い鍵（アクセストークン）が相手に渡ります。記録は、この合い鍵があれば MCP を通してユーザーの作成や設定の変更まででき、管理者と同じ立場でサイトを操作できると書いています。

管理者が、知らないアプリを自分から承認するとは限りません。記録によると、AI Engine 3.8.6 以前の承認画面は、別のサイトのページの中に埋め込んで表示できました。見えないように重ねた承認ボタンを、別のボタンだと思わせて押させる「クリックジャッキング」で、管理者の承認を取れたということです。

• CVE：CVE-2026-110732。WordPress のセキュリティ企業 Wordfence が2026年10月30日に公開。脆弱性データベースの WPScan も10月29日に掲載
• 対象：AI Engine 3.8.6 以前（MCP をオンにしたサイト）。修正は AI Engine 3.8.7
• 深刻度：CVSS は10点満点の7.5。管理者に承認させる必要があり、攻撃が成り立つ条件はやや厳しいと評価されている
• 悪用：米国の CISA の評価は「none（確認なし）」。自動化はしにくく、成功したときの影響は「total（サイトを丸ごと操作され得る）」

原因は、誰でも登録できるAIアプリの接続を、承認ボタンを押す1回だけで守っていたこと

登録の入口が誰にでも開いていたこと自体は、MCP のつなぎ方に沿ったものです。MCP の仕様（2026年7月28日のバージョン）は、AI アプリが接続先に自分を登録するやり方を、三つある登録方法の一つとして残しています。仕様の上では、新しい方法に対応していない接続先との互換のために残す扱いです。AI Engine の接続画面でも、AI アプリ側でサイトを登録したあと、3番目の手順として WordPress での承認（Approve in WordPress）を求めます。

開発元は AI Engine 3.8.7 のコードに、この脆弱性についての説明を残しています。誰でもアプリを登録できる以上、攻撃する人と管理者の合い鍵のあいだにあるのは、管理者が承認ボタンを押すという1回の操作だけです。その承認画面が別のサイトの見えない枠の中に表示できたため、押す操作そのものを盗まれ得た、と書いています。

承認画面には、承認したあとどこへ戻るのかも出ていませんでした。アプリの名前は登録する人が自由に付けられるので、「Claude」と名乗るアプリが本物の Claude かどうかを、画面から見分ける手がかりもありませんでした。開発元もコードの中で、名前は自由に書けるので「Claude」という名前だけでは何の証明にもならない、と書いています。

AI Engine 3.8.7は、承認画面を埋め込めなくし、承認したあとの戻り先を見せるようにした

AI Engine 3.8.7 は、2026年10月23日に出たバージョンです。開発元の変更履歴は「MCP のサインイン画面を別のサイトの枠に入れられないようにし、アプリがどこへ戻すのかを表示し、Claude や ChatGPT を名乗るのに本物ではないアプリには警告を出す」と書いています。配布されているコードでも、承認画面に別のサイトへの埋め込みを断る指示が付き、戻り先を示す「Sends you to」の欄と、名乗りと戻り先が合わないときの赤い警告が加わっています。

同じ AI Engine 3.8.7 で、承認画面に「Full access（読み書きすべて）」と「Read-only（読むだけ）」を選ぶ欄も付きました。読むだけで承認した接続は、サイトの中身を変えられません。

一方で、アプリを登録する入口は、現行の AI Engine 3.9.1 でも誰でも使えます。MCP のつなぎ方として要る入口だからです。修正は入口を閉じたのではなく、管理者が何を承認しているのかを見えるようにし、承認を盗まれないようにしたものです。承認ボタンが最後の関門であることは変わりません。新しい警告の文面も、今まさに自分でつないでいて、戻り先の住所に覚えがあるときだけ承認するよう求めています。

上げる先は、AI Engine 3.8.7で止めず、現行のAI Engine 3.9.1にする

この脆弱性の対象になるのは、AI Engine の MCP をオンにしているサイトです。AI Engine 3.8.6 以前では、MCP は設定でオンにしない限り動きません。AI Engine 3.8.8（10月27日）からは新しく入れたサイトだけ既定でオンになり、前から使っているサイトは、MCP の設定を保存したことがなければ更新してもオフのままです。

MCP をオンにしているサイトなら、AI Engine 3.8.7 で止めず、現行の AI Engine 3.9.1 まで上げるのがよいと私たちは判断しています。AI Engine 3.8.8 にも、ショップ管理者の権限で MCP から管理者のアカウントを編集できないようにするなど、MCP まわりの安全の修正が入っているためです。

AI Engine 3.9.1 の必須条件は WordPress 6.0 以上と PHP 8.1 以上で、AI Engine 3.8.6 から変わっていません。WordPress 本体を更新しても AI Engine のバージョンは替わらないので、プラグインの更新は別に要ります。本体の更新については【脆弱性修正】WordPress 7.1.4がリリースされましたに書きました。

更新したあとは、接続済みのアプリに覚えのないものがないかを見る

更新でふさがるのは、これから先の承認です。開発元のコードの説明では、AI Engine 3.8.7 より前に承認された接続は、更新のあともそれまでどおり使えます。AI Engine の MCP の画面にある接続済みアプリ（Connected Apps）の一覧に覚えのないアプリがあれば、その接続を取り消します。

接続を取り消しても、その間に足されたユーザーや変えられた設定は戻りません。WordPress の「ユーザー」画面で覚えのない管理者がいないかも見ておきます。管理者の操作なしに入られるおそれがあったSureCart の脆弱性と型は違いますが、更新のあとに確かめることは同じです。

参考にした一次情報

• CVE-2026-110732 の記録（Wordfence。原因の説明、報告と公開の日付、CISA の評価）
• WPScan：AI Engine 3.8.7 未満の MCP の OAuth クライアント登録の脆弱性
• WordPress.org の AI Engine（現行 3.9.1、変更履歴）
• AI Engine の変更履歴（開発元 Meow Apps）
• WordPress.org の AI Engine 配布記録（バージョンごとのタグ）
• MCP の仕様：認可（2026-07-28 のバージョン）

---