SMS Alertに権限昇格の脆弱性、4.0.2以前が対象
WordPress用プラグインSMS Alert Order Notificationsの4.0.2以前に、サイト上の権限を不正に引き上げられる脆弱性が公表されました。導入しているサイトは版を確認し、更新が出ていれば適用し、なければ無効化を検討してください。
急ぎ度: 至急
CVSS v3が9.8で、機密性・完全性・可用性への影響がすべて高く評価されており、公開サイトで使われるプラグインが対象だからです。
関係があるか
WordPressでSMS Alert Order Notificationsを有効にしているサイトが対象です。インターネットに公開している通販サイトや予約サイトなど、注文や問い合わせをSMSで通知している環境は、特に確認が必要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SMS Alert Order Notifications（WordPressプラグイン、提供元はCozy Vision Technologies Pvt. Ltd.） | 4.0.2以前 | 修正版の版番号は、プラグインの配布ページとPatchstackの告知で確認してください。管理画面に4.0.2より新しい版が表示されていれば、それが更新の候補です。 |
確かめ方
- 1WordPressの管理画面でプラグイン一覧を開き、SMS Alert Order Notificationsが入っているか、入っていれば版がいくつかを見ます。有効・無効のどちらの状態かも控えておいてください。
- 2WP-CLIが使える環境では、
wp plugin listで導入済みプラグインと版を一覧できます。複数のサイトやステージング環境を運用している場合は、すべてで実行してください。 - 3委託先が運用しているサイトは、自社で把握していないプラグインが入っていることがあります。委託先にも導入の有無を問い合わせてください。
何が起きたか
WordPressプラグインSMS Alert Order Notificationsに、権限を不正に引き上げられる脆弱性が見つかりました。4.0.2以前の版が対象で、2026年10月30日にPatchstackのデータベースで公表されています。
分類は、権限の割り当てが適切でないことを示すCWE-266です。公表されている説明は短く、どの機能のどこに問題があるのかまでは書かれていません。
公表されたのは昨日で、修正状況や攻撃の動きはこれから出てくる段階です。WordPressのプラグインは公表後に対象サイトを探す動きが出やすいため、筆者は、版の確認だけでも今日のうちに済ませておくほうがよいと考えています。
攻撃の流れ
-
1
対象サイトの特定
プラグインを導入している公開サイトを探します。
-
2
不正な要求の送信
脆弱な版のプラグインに、権限の確認をすり抜ける要求を送ります。
-
3
権限の引き上げ
本来は持てない高い権限をサイト上で得ます。
-
4
サイトの操作
得た権限で設定やデータを閲覧・変更します。
-
5
被害の拡大
改ざんや情報の持ち出し、サイトの停止などにつながります。
どう悪用されるか
ログインしていない第三者が、ネットワーク越しに攻撃できます。攻撃に必要な複雑な条件はなく、サイトの管理者や利用者に操作させる必要もありません。そのため、プラグインが有効なまま公開されているサイトであれば、サイトの担当者が気づかないうちに狙われるおそれがあります。
悪用されると、サイト上で本来持たない権限を得られます。CVSSの評価では、情報の閲覧、データや設定の書き換え、サイトの停止のすべてが高い影響として扱われています。得られる権限の範囲や具体的な被害は、公表されている説明からは分かりません。
今すぐやること
-
1
導入の有無と版を確認する
管理画面かWP-CLIで、SMS Alert Order Notificationsが入っているサイトを洗い出し、版が4.0.2以前かどうかを控えます。ステージング環境や、使っていないサイトも対象に含めてください。
wp plugin list -
2
修正版が出ていれば更新する
管理画面に4.0.2より新しい版が表示されていれば、バックアップを取ってから更新します。更新後は、プラグイン一覧で版が上がったことと、SMS通知が動くことを確認してください。修正版の有無と版番号は、プラグインの配布ページとPatchstackの告知で確かめられます。
-
3
更新できないときは無効化する
修正版が見当たらない、または業務の都合で今すぐ更新できない場合は、プラグインを無効化します。具体的な手順は回避策に任せ、無効化したことと日時を記録しておいてください。
-
4
不審な変更がないか調べる
公表は昨日ですが、念のため、ユーザー一覧に覚えのない管理者や編集者がいないか、既存ユーザーの権限が変わっていないかを確認します。アクセスログに、プラグイン関連の不審なリクエストが残っていないかも見てください。
-
5
ベンダーの告知を追う
提供元の告知やPatchstackの情報は、公表直後に更新されることがあります。修正版の案内、回避策、影響する版の範囲が追記されていないか、数日は見直してください。
修正版がないあいだのつなぎ
修正版を当てられない間は、管理画面のプラグイン一覧からSMS Alert Order Notificationsを無効化します。使う予定がなければ、削除しておくと確実です。無効化するとSMS通知は止まるため、注文や問い合わせの連絡が滞らないよう、メールなどの代替手段を先に用意してください。
背景
SMS Alert Order Notificationsは、WordPressサイトで起きた注文などの出来事をSMSで知らせるプラグインです。通知のために顧客の電話番号や、外部のSMS送信サービスとの連携設定を扱うため、サイトが乗っ取られると、顧客情報の漏えいや、サイトを足がかりにした不審なSMSの送信につながるおそれがあります。
権限昇格は、WordPress本体よりプラグイン側の権限チェックの不備で見つかることが多い種類の脆弱性です。ログイン不要の権限昇格は、サイトの管理者アカウントを持たない第三者でも、管理者に近い操作ができるようになる点で、一般の画面表示の不具合とは影響の重さが違います。
よくある質問
Q.WordPress本体を最新にしていれば影響を受けませんか。
Q.インストールしてあるだけで有効にしていないプラグインも危険ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Cozy Vision Technologies Pvt. Ltd. | SMS Alert Order Notifications |
4.0.2 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated Privilege Escalation in SMS Alert Order Notifications <= 4.0.2 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com