Loco TranslateのCSRF脆弱性と対処法

何が起きたか

WordPress用の翻訳プラグイン「Loco Translate」に、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が見つかりました。JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）が2026年8月5日付のWeekly Reportで注意喚起しています。Loco Translateを使っているサイトは、まず最新版に更新してください。

出典: JPCERT/CC Weekly Report「WordPress用プラグインLoco Translateにクロスサイトリクエストフォージェリの脆弱性」（2026年8月5日）

Loco Translateは、WordPressの管理画面から、テーマやプラグインの表示文言（英語の項目名など）を日本語に翻訳・修正できる、広く使われているプラグインです。「サイトのボタンや見出しの文言を日本語に直したい」というときに制作会社がよく導入します。つまり、あなたのサイトにも入っている可能性は十分にあります。

なお、この記事の執筆時点で当社が確認できたのは、上記JPCERT/CCの注意喚起に記載された「Loco Translate」「CSRF（クロスサイトリクエストフォージェリ）」「2026年8月5日公開」という事実のみです。影響を受ける具体的なバージョン番号・修正済みバージョン・CVE番号・深刻度（CVSSスコア）は、必ず下記の公式告知や配布元の情報で最新の数値をご確認ください。 ここで数字を推測で書くことはしません。

CSRFの脆弱性とは？（噛み砕いて）

CSRF（クロスサイトリクエストフォージェリ）とは、ログイン中の管理者を悪意あるサイトに誘導し、本人が気づかないうちに管理画面の操作を「代わりに実行させられてしまう」タイプの弱点です。管理者のパスワードが盗まれるわけではなく、ログイン状態を利用されて「意図しない設定変更や書き込み」をさせられるのが特徴です。

たとえるなら、あなたが銀行にログインしたまま別のサイトを開いたとき、その裏でこっそり「振込ボタン」を押させられる——というイメージです。実際の攻撃が成立するには、管理者がログイン中に細工されたページを開くなどの条件が必要ですが、「うちは小さいサイトだから狙われない」という油断が一番危険です。攻撃は人が一つひとつ選ぶのではなく、脆弱性のあるプラグインを機械的に探し回って自動で行われるためです。

持ち帰り: CSRFは「パスワード漏れ」ではなく「ログイン状態の悪用」。だからこそ、パスワードを強くするだけでは防げず、プラグイン本体を修正版に更新することが唯一の確実な対策になります。

これが自社サイトにどう影響するか（AliveCastの見解）

結論から言うと、Loco Translateを「入れっぱなしで使っていない」サイトが一番危ない、と当社は考えています。理由は、使っていないプラグインは誰も更新を気にせず放置され、脆弱性が残り続けるからです。

WordPressサイトのセキュリティ事故は、WordPress本体よりもプラグインの古さが原因になることが圧倒的に多い、というのが制作現場の実感です。プラグインは便利な反面、一つ増えるごとに「更新し続けなければならない部品」が一つ増えます。今回のLoco Translateのように、翻訳のためだけに入れて、作業が終わったら存在を忘れられているプラグインは珍しくありません。

もう一つ、発注側の方に正直にお伝えしたい限界があります。プラグインの脆弱性は、今回のLoco Translateで終わりではありません。 世界中で使われているプラグインには日々新しい脆弱性が見つかり、そのたびに修正版が出ます。だから「今回だけ更新すれば安心」ではなく、「更新をずっと続けられる体制になっているか」が本当の分かれ目です。一度きりの対応ではなく、月次の点検で早期に気づける仕組みを持てているか——ここが事故の起きるサイトと起きないサイトの差になります。

持ち帰り: 「使っていないプラグインは消す」「更新を続ける体制があるか確認する」。この2点を、今回をきっかけに自社サイトで点検してください。

あなたのホームページで今やること

専門知識がなくても、発注側のあなた自身が確認できる手順をまとめます。

1. Loco Translateを使っているか確認する。 WordPress管理画面にログインし、左メニューの「プラグイン」→「インストール済みプラグイン」を開きます。一覧に「Loco Translate」があるかを見てください。
2. あれば、まず最新版へ更新する。 そのプラグインの下に「更新（Update）」のリンクが出ていれば、それをクリックします。更新前に、可能ならバックアップを取っておくと安心です（制作会社に管理を任せている場合は、勝手に押す前に次の3へ）。
3. 制作会社・保守担当に連絡する。 自社で管理していない場合は、「Loco TranslateのCSRF脆弱性（JPCERT/CC 2026年8月5日）の件、うちのサイトは影響ありますか。最新版への更新をお願いします」と一言伝えるだけで十分です。専門用語は上のURLを添えれば通じます。
4. 使っていないなら、この機会に削除を検討する。 翻訳作業がすでに終わっていて今後使わないなら、停止・削除もひとつの手です。ただし、テーマの日本語表示がLoco Translateに依存している場合、削除すると表示が英語に戻ることがあります。削除の可否は必ず制作会社に確認してからにしてください。
5. 正確なバージョン番号は公式で確認する。 「どのバージョンから安全か」は、上記JPCERT/CCの注意喚起、およびWordPress公式プラグインディレクトリのLoco Translateページで最新情報を確認してください。当記事では推測の数字を書きません。

判断基準: 迷ったら「更新する」が正解です。プラグインの更新で表示が崩れるリスクよりも、脆弱性を放置するリスクの方が一般に大きいためです。ただし本番サイトでいきなり更新して不安な場合は、バックアップの有無だけ先に確認してください。

WordPressの脆弱性対応や、プラグインの更新・保守体制づくりにご不安のある方は、福岡のWeb制作会社である当社にご相談ください。現状のリスク点検からご案内します。お問い合わせ

よくある質問