Security For WooCommerceに脆弱性、修正版は未確認
Security For WooCommerce 1.0.16以前に、認証なしで管理者を含む任意のユーザーとしてログインできる脆弱性が公表されました。修正版は未確認のため、導入しているサイトはプラグインを停止し、管理者アカウントを点検してください。
急ぎ度: 至急
CVSS v3は9.8で、認証なしにネットワークから悪用でき、修正版も確認できていないためです。
関係があるか
WordPressでWooCommerceを使い、プラグインのSecurity For WooCommerceを導入しているサイトが対象です。管理者を含む全ユーザーのアカウントが乗っ取られる恐れがあるため、ネットショップを運営する企業は特に注意が必要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Security For WooCommerce(WordPressプラグイン) | 1.0.16以前 | 修正版は確認されていません |
確かめ方
- 1WordPressの管理画面で「プラグイン」を開き、Security For WooCommerceが入っているか、版が1.0.16以前かを見ます。
- 2WPScanはこのプラグインをultimate-security-for-woocommerceという名前で登録しています。表示名が違って見える場合は、wp-content/pluginsの下にこの名前のフォルダーがあるかも調べてください。
- 3WP-CLIが使える環境なら、
wp plugin list --fields=name,status,versionで名前・状態・版を一覧できます。 - 4複数のサイトを運用している場合や、検証環境・停止中のサイトにも同じプラグインが残っていないかを洗い出します。
何が起きたか
WordPressのプラグインSecurity For WooCommerceに、ログインの資格情報を持たない第三者が、管理者を含む任意のユーザーとしてサイトにログインできてしまう脆弱性があります。
原因は、プラグインが用意しているREST APIの複数のルートにアクセス制限がないことです。外部から全ユーザー分のログイン用トークンを作らせ、さらにそれを取得できるため、そのトークンでログインできます。CVEの記録の題には、REST API経由の設定値の更新とユーザートークンの漏えいが挙げられています。分類はCWE-269（不適切な権限管理）です。
WPScanは2026年11月9日にこの脆弱性を公開し、CVEは11月11日に公表されました。報告者はAabideen Bangash氏です。WPScanの記載では修正版は見つかっていません。認証が要らず、直す手段もないとなると、導入しているサイトはまずプラグインを止めるのが現実的でしょう。
攻撃の流れ
-
1
外部から接続
攻撃者がインターネット側から、対象サイトのREST APIにある制限のないルートへ接続します。
-
2
トークン生成
全ユーザー分のログイン用トークンを作らせます。
-
3
トークン取得
作られたトークンを読み出します。
-
4
管理者でログイン
取得したトークンで、管理者を含む任意のユーザーとしてログインします。
-
5
サイトを掌握
設定変更、情報の閲覧、コンテンツの書き換えなどが可能になります。
どう悪用されるか
悪用に認証は要りません。攻撃者はネットワーク経由で対象サイトに到達できれば足り、利用者に何かを操作させる必要もありません。攻撃の複雑さは低いと評価されています（CVSSのベクターはAV:N/AC:L/PR:N/UI:N）。
成功すると、管理者を含む任意のユーザーになりすませます。管理者になれば、サイトの設定、コンテンツ、ユーザー情報、注文や顧客の情報に触れられます。一般にWordPressの管理者はプラグインやテーマも追加できるため、サイトの改ざんや、そこを足場にしたさらなる被害にもつながります。機密性・完全性・可用性への影響は、いずれも高と評価されています。
今すぐやること
-
1
導入の有無と版を確認する
Security For WooCommerceが入っているサイトを洗い出し、版が1.0.16以前かを確認します。管理画面のプラグイン一覧でも、WP-CLIでも構いません。
wp plugin list --fields=name,status,version -
2
該当するならプラグインを停止する
修正版が確認できないため、更新では直せません。有効化している該当サイトは、すぐにプラグインを無効化します。使い続ける理由がなければ削除し、同じ目的を満たす別の対策に移すことを検討してください。
-
3
管理者アカウントとログインの履歴を点検する
見覚えのない管理者の追加、既存ユーザーの権限変更、身に覚えのないログインがないかを見ます。あわせて、プラグインやテーマの追加・変更、設定の書き換えがないかも調べます。公表の直後から悪用される可能性があるため、公開済みの期間を遡って確認してください。
-
4
アクセスログでREST APIへの不審な接続を探す
Webサーバーやリバースプロキシ、WAFのログで、
/wp-json/配下に見慣れない大量のリクエストや、不審な外部IPからの接続がないかを調べます。 -
5
不審な点があれば認証情報を入れ替える
侵害の跡が見つかった場合や、確認しきれない場合は、管理者などのパスワードを変更し、ログイン中のセッションも破棄します。サイト内の不審なユーザーや改ざんも元に戻してください。
-
6
修正版の告知を待たずに確認先を決めておく
開発元のプラグイン配布ページとWPScanの該当ページで、修正版や対応状況の更新を確認します。修正版が出た場合は、その版を確かめてから再導入を判断します。
修正版がないあいだのつなぎ
プラグインを止められない事情がある場合は、WAFやWebサーバーの設定で、このプラグインのREST APIルートへの外部からのアクセスを遮断するか、信頼できるIPアドレスだけに限定します。ルート名は開発元の告知などで確認し、WooCommerceなど他の機能に影響が出ないかをテスト環境で確かめてから適用してください。これは修正版が出るまでのつなぎで、プラグインの停止ほど確実ではありません。
背景
WooCommerceはWordPress上でネットショップを動かす代表的なプラグインで、管理者アカウントには商品・注文・顧客の情報が集まります。Security For WooCommerceは名称からWooCommerceサイトの保護を目的としたプラグインとみられ、守るために入れた部品が、ログインの入り口をさらしてしまうことになります。
REST APIのルートに権限の確認が抜けていると、ログイン済みであることを前提にした機能が外部から直接呼べてしまいます。WPScanには、ログイン用の仕組みやパスワードリセットを悪用して権限を奪う、認証不要の権限昇格がWordPressプラグインで複数登録されています。今回は、トークンの生成と取得の両方が認証なしで行える点が、被害の大きさにつながっています。
よくある質問
Q.プラグインを無効化すれば、すでに奪われたアカウントも安全になりますか。
Q.今は使っていない停止中のプラグインも対象ですか。
まだ分かっていないこと
- 修正版の公開予定や時期は示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録Security For WooCommerce |
1.0.16 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Security For WooCommerce WordPress plugin through 1.0.16 does not restrict access to several of its REST API routes, allowing unauthenticated users to generate login tokens for every user and then retrieve them, and so log in as any user, including administrators.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com