Wordfence の研究者は、人気の Avada WordPress テーマと Fusion Builder プラグインにおいて、認証を必要としないゼロクリック攻撃連鎖を発見した。この脆弱性は CVE‑2026‑18431 として登録されており、サーバ上で任意の PHP コードを実行でき、深刻度は 9.8 のクリティカルと評価されている。

攻撃は、認可、入力検証、権限境界、ファイル処理など 6 つの個別のセキュリティ欠陥を特定の順序で連鎖的にトリガーする。エクスプロイトは、Avada テーマ（バージョン 7.16 以前）と Fusion Builder（バージョン 3.16 以前）の両方が同時に存在することを条件とする。Wordfence チームは、Argus と呼ばれる内部フレームワークを用いてわずか 2 時間で検証コードを作成した。

テーマ開発元の ThemeFusion は、バージョン 7.16.1 と 3.16.1 で本脆弱性を修正したが、販売数が 100 万件を超える旧バージョンは依然としてインターネット上に残っている。そのためサイト管理者は、特にこの 2 つのコンポーネントが同時に最新であることを確認し、緊急にアップデートを適用すべきだ。