Security For WooCommerceに管理者作成の脆弱性
WordPressプラグインSecurity For WooCommerceの1.0.10から1.0.16に、ログインなしで管理者アカウントを作れる脆弱性が公表されました。該当版を使うサイトは更新状況を確認し、見覚えのない管理者がいないか調べてください。
急ぎ度: 至急
CVSS v3が9.8で、ログイン不要のまま管理者を作れるため、該当版を入れているサイトは修正版の確認と管理者アカウントの点検を先に済ませたい状況です。
関係があるか
WordPressにWooCommerceでネットショップを構築し、Security For WooCommerceを入れている組織が対象です。インターネットから見えるサイトであれば、社内の誰も操作していなくても影響を受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Security For WooCommerce(WordPressプラグイン) | 1.0.10から1.0.16まで | 修正版の版番号は確認できていません。WordPress.orgのプラグイン配布ページと開発元の告知で、1.0.16より新しい版が出ているか確認してください。 |
確かめ方
- 1WordPressの管理画面で「プラグイン」を開き、Security For WooCommerceが入っているか、版が1.0.10から1.0.16に収まるかを見ます。
- 2管理画面にログインできない環境では、サーバー上のwp-content/pluginsの下にプラグインのフォルダーがあるかを確認します。
- 3WP-CLIが使えるなら、
wp plugin listで版を一覧できます。 - 4複数のサイトを預かっている場合は、制作会社やホスティング事業者にも、同じプラグインを入れていないかを問い合わせます。
何が起きたか
WordPressのプラグインSecurity For WooCommerceに、サイトの管理者アカウントを第三者に作られてしまう脆弱性が見つかりました。管理者を作られると、サイトの乗っ取りにつながります。2026年11月5日に公表されたばかりです。
原因は、ユーザーを新しく作る処理（usfw_create_temporary_user）に、実行してよい権限かどうかの確認が入っていないことです。しかも、作るアカウントの役割（role）を呼び出し側が選べます。権限確認の欠落を示すCWE-862に分類されています。
この種の脆弱性は、修正版が出る前後に自動のスキャンが増える傾向があります。筆者は、該当版を使うサイトは公表から日が浅いうちに点検しておくのが無難だと考えています。
攻撃の流れ
-
1
対象サイトを探す
プラグインが入っているWordPressサイトを、外部から見つけます。
-
2
作成処理を呼ぶ
ログインしないまま、ユーザー作成の処理に要求を送ります。
-
3
役割を管理者に指定
権限確認がないため、新しいアカウントの役割に管理者が通ります。
-
4
管理画面に入る
作られた管理者でログインし、サイトを自由に操作できる状態になります。
どう悪用されるか
悪用に認証は要りません。ネットワークの外から、サイトに要求を送れる位置にいれば足ります。攻撃の複雑さは低く、サイト管理者や訪問者に操作を求める必要もありません（CVSSのベクターはAV:N/AC:L/PR:N/UI:N）。
成功すると、攻撃者は管理者アカウントを手に入れます。管理者はショップの注文・顧客情報の閲覧、設定変更、プラグインの追加や編集ができる立場です。サイトの改ざんや情報の持ち出し、サーバー上での不正な処理の実行まで広がるおそれがあります。CVSSの機密性・完全性・可用性がすべて高いのは、そのためです。
今すぐやること
-
1
該当するか版を確認する
Security For WooCommerceが入っているか、版が1.0.10から1.0.16かを確認します。入っていなければ、この脆弱性の影響は受けません。
wp plugin list -
2
修正版があれば更新する
プラグイン配布ページと開発元の告知で、修正版が出ているかを確認します。出ていれば更新し、更新後に版が上がったことを管理画面で確かめてください。更新前にサイト全体のバックアップを取っておくと、戻せるので安心です。
-
3
管理者アカウントを点検する
管理者の一覧に、心当たりのないアカウントがないかを見ます。作成日時やメールアドレスも確認し、更新前に作られたものが紛れていないかを調べます。
wp user list --role=administrator -
4
更新が難しいときは使用を止める
修正版がない、または今すぐ更新できない場合は、下の回避策に沿ってプラグインを止めます。
修正版がないあいだのつなぎ
修正版を当てられないあいだは、Security For WooCommerceを無効化し、使わないなら削除します。プラグインが動いていなければ、問題の処理は呼び出せません。セキュリティ機能をこのプラグインに頼っている場合は、代わりの対策を用意してから止めてください。WAFを使っているなら、ベンダーの案内に沿って該当の処理への要求を遮断するルールを入れる手もありますが、あくまでつなぎです。無効化中も、管理者アカウントの点検は済ませてください。
背景
WooCommerceはWordPressをネットショップにするための代表的なプラグインで、注文履歴、顧客の氏名・住所、決済まわりの設定が管理画面に集まります。そのため、管理者アカウントを奪われると、単なるサイトの改ざんでは済まず、顧客情報の漏えいにも直結します。
Security For WooCommerceはその周辺に追加する拡張です。今回の脆弱性は、ユーザーを作るという最も権限の重い操作に、権限確認が抜けていた点が特徴です。関数名からは、一時的なアカウントを作る目的の処理に見えます。利便性のために用意された入口が、そのまま攻撃者の入口にもなった形です。
よくある質問
Q.見覚えのない管理者アカウントが見つかったら、どうすればよいですか。
Q.プラグインを更新・無効化したあとも、管理者の点検は必要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| https://wordpress.org/plugins | Security For WooCommerce |
1.0.10 〜 1.0.16 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Security For WooCommerce WordPress plugin from 1.0.10 to 1.0.16 does not perform capability checks when creating users through an action available to unauthenticated visitors, and lets the caller choose the new account's role, allowing unauthenticated attackers to create administrator accounts and take over the site.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com