【2025年2月版】WP Mail SMTPのバージョンと脆弱性情報

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

本記事はWP Mail SMTPのバージョンと脆弱性への対応状況についてまとめたもので、2025年2月7日に執筆しています。

WP Mail SMTPは、WordPressサイトからのメール送信の信頼性を向上させるためのプラグインであり、Syed Balkhiさんによって開発・サポートされています。

WordPressのPlugin Directoryの統計情報によると、アクティブインストールは400万以上、総ダウンロード数は6254万回以上を計測しており、世界的にも有名なプラグインの一つと言ってよいでしょう。

一方で、人気が高いほど攻撃対象になるリスクもあるため、脆弱性への適切な対応が重要になります。
実際にWP Mail SMTPの脆弱性は過去見つかっており、迅速に対応されています。

この記事では、企業のWeb担当の皆様に向けて、WP Mail SMTPの脆弱性及びその対応状況をご紹介することで、WP Mail SMTP自体については安心して使用していただけるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

・WP Mail SMTPとは
・WP Mail SMTPのバージョン情報に関するポイント
・WP Mail SMTPのバージョン情報
・WP Mail SMTPの脆弱性情報
・WP Mail SMTPのバージョンアップを継続する体制について

WP Mail SMTPとは

WP Mail SMTPは、前述の通り、Syed Balkhiさんが開発・サポートを継続している、オープンソースのWordPress向けプラグインであり、WordPressサイトからのメール送信の信頼性を向上させることができるプラグインです。

従来のPHPメール関数では、送信エラーや迷惑メール扱いのリスクがありますが、本プラグインはSMTP認証を利用することで、安定したメール配信を実現することができますし、主要なメールサービス（Gmail、SendGrid、Mailgunなど）との連携にも対応し、サイト運営者が確実に通知や連絡メールを送信できる環境を提供してくれることから、多くの人に利用されています。

一方で、利用者の多いプラグインは、攻撃のターゲットにされる可能性があるため、当社では、脆弱性に対する対応が遅い、もしくは対応しないプラグインは、クライアントにお勧めしていません。

WP Mail SMTPについては、2024年12月11日にリリースされたバージョン4.3.0以降、脆弱性は見つかっていないこと、過去脆弱性が見つかった際には迅速に対応されていること、定期的なバージョンアップがされていることから、2025年2月7日現在、セキュリティ面での問題はないと考えております。

WP Mail SMTPのバージョン情報に関するポイント

公式サイトに直接的な記載はありませんが、WP Mail SMTPは、通常のセマンティックバージョニングに近いバージョニングを採用しており、左からメジャーバージョン、マイナーバージョン、パッチバージョンの3つの数字で構成されています。

2025年2月7日現在、WP Mail SMTPの最新バージョンは4.3.0であり、WordPress6.7.1までテストされています。

通常のオープンソースソフトウェアでは、公式のサポート（新機能の追加、不具合の改修、セキュリティパッチの提供）対象は最新パッチバージョンのみであり、最新パッチバージョンへのアップデートを推奨いたします。

WP Mail SMTPのバージョン情報

2025年2月7日現在での、WP Mail SMTPのバージョン情報は次の通りです。

バージョン	リリース日	サポート期限	修正された脆弱性
4.3.0	2024年12月11日	サポート中	－
4.2.0	2024年11月6日	2024年12月11日	－
4.1.1	2024年8月15日	2024年11月6日	－
4.1.0	2024年7月17日	2024年8月15日	CVE-2024-6694
4.0.1	2024年2月29日	2024年7月17日	－
1.4.0	2018年11月29日	2018年12月3日	Wordfence

※各バージョンのリリース日については、WordPress公式サイトの開発ログの情報に基づいています。
※上記の内容は、バージョン4.0.1までを掲載しています。また、それ以前のバージョンについては、下記脆弱性が修正されたバージョンを追記しています。
※バージョン4.0.1以下には既知の脆弱性が存在するため、グレーにしています。

WP Mail SMTPの脆弱性情報

WP Mail SMTPの最新バージョンは4.3.0であり、当社が把握している全ての脆弱性に修正対応済みとなっています。

また、WP Mail SMTP 4.0.1以下のバージョンをご使用の場合には、既知の脆弱性が存在する可能性がありますので、最新バージョンへとアップデートをしてください。

WP Mail SMTP自体に関する脆弱性情報で、当社が把握しているものは次の通りです。

脆弱性情報	深刻度	影響を受けるバージョン	修正されたバージョン
CVE-2024-6694 CVE-2024-6694 Detail	CVSS v3 2.7 (注意)	WP Mail SMTP 4.0.1までのバージョン	WP Mail SMTP 4.1.0
Wordfence	CVSS v3 6.4 (警告)	WP Mail SMTP 1.3.3までのバージョン	WP Mail SMTP 1.4.0

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。JVN、NVDにてスコアリングされていない脆弱性情報についてはWordfenceのスコアに準拠しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

WP Mail SMTPのバージョンアップを継続する体制について

前述のように、WP Mail SMTPは世界的にも人気のあるプラグインであり、Web制作の現場でWordPressを利用する場合には、お世話になる確率が高いプラグインです。

しかしながら、WP Mail SMTP自体のバージョンアップをしようと思っても、WordPressやPHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。

taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、WP Mail SMTPとWordPressはもちろんのこと、PHP、MySQL、MariaDBについてもノウハウを有しています。

※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。

WP Mail SMTPを使用したWebサイト制作やアップデートを含む保守・管理に関しては、こちらのお問合せよりお気軽にご相談ください。