何が起きたか
Patchstackは2026年10月15日にCVE-2026-110888を公開しました（NVD REST検証済み、CVSS 4.3、CWE-862、ステータス Deferred）。AI Engineプラグインは3.8.3までの脆弱なサーフェスで適切な承認を欠いており、誤設定されたアクセス制御セキュリティレベルの悪用が可能です。Patchstackはこれを低優先度と評価し、大規模な悪用は可能性が低いとしています。
なぜ重要か
AI Engineは一般的なWordPress AIチャット/AIアシスタントプラグインです。これは正確ですが爆発半径の小さいカタログエントリです。AIプラグイン上のアクセス制御ギャップで、低権限のWordPressユーザーが本来到達できないAI機能や関連データに到達できる可能性があり、通常のWordPressプラグインメンテナンスサイクルと合わせてパッチ適用する価値があります。
攻撃経路
AI Engine（WordPress AIチャット/AIエージェントプラグイン）の承認チェックの欠如（CWE-862）により、誤って設定されたアクセス制御レベルの悪用が可能になります。認証済みの低権限呼び出し元は、付与されたレベルを超えたアクションの実行やデータへの到達が可能です。
影響を受けるシステム
WordPress 'AI Engine'プラグイン（Meow Apps）<= 3.8.3（3.8.4で修正）
緩和策
AI Engineプラグインを3.8.4以降に更新してください（Patchstackアドバイザリ; 2026-10-02報告、2026-10-15公開）。Patchstack自動更新を有効にしている顧客は公開前にパッチが適用されています。