QA Assistantsのセキュリティに関するお知らせとご利用のお願い（10月23日追記・公開済み）

追記：2026年10月23日

2026年10月21日
株式会社ウェブジョブズ

※10/23本日、WordPress.org のセキュリティ審査を通過しプラグインが再公開されました。（2026年10月23日追記）

平素よりQA Assistantsをご利用いただき、ありがとうございます。
現在、QA Assistantsのセキュリティに関して、以下の2点について確認・対応を進めています。

1. QA AssistantsのWordPress.orgでの公開停止について

現在公開しているQA Assistantsにおいて、セッションリプレイ画面の出力処理に関する保存型クロスサイトスクリプティング（保存型XSS）の脆弱性が報告されました。

これは外部から送信・保存された不正なデータによって、管理者がセッションリプレイ画面を表示した際に、意図しないJavaScriptが実行される可能性があるというものです。

この報告を受け2026年10月20日より、WordPress.orgでのQA Assistantsの公開が一時停止されています。

また以前のバージョンのQA Assistantsを利用していたサイトにおいて、不正アクセスおよびサイト改ざんが発生したとの報告を受けています。

旧バージョン（5.2.0.0以下）については、2026年8月にリモートコード実行に関する脆弱性（CVE-2026-27544）が公表されており5.2.0.1で修正済みです。

今回報告された不正アクセスと、この脆弱性との関連については、現在確認を進めています。

上記の状況を踏まえ、安全性が確認できるまでの間、QA Assistantsを一時的に「無効化」していただきますようお願いいたします。

無効化は、WordPress管理画面から以下の手順で行えます。

以下のQA Assistants用AIアシスタントプラグインをインストールされている場合は、念のため、以下プラグインも無効化をお願いいたします。

・QA Assistant – Growth
・QA Assistant – Site Analyst
・QA Assistant – Social Media
・QA Assistant Scroll & Exit Analysis

あわせて、以下の点についてもご確認ください。

・WordPressの管理者アカウントに、身に覚えのないユーザーが追加されていないか
・サイト内に不審なファイルや意図しない変更がないか
・投稿ページ、固定ページに覚えのない変更が行われていないか

不審な点が見つかった場合は、サイトの保守・管理担当者にご相談ください。

なお、調査に必要な情報を保全するため、現時点ではプラグインや関連データの削除はお控えください。また、QA Assistantsのセッションリプレイ画面は開かないようお願いいたします。

現在、報告されている脆弱性への対応と、導入サイトへの影響確認を進めています。
ご利用の皆様にはご不便とご心配をおかけし、申し訳ございません。

修正版の提供や調査状況については、進展があり次第、本サイトにてお知らせいたします。