FunnelKit Automationsに認証不要の重大な脆弱性
WordPressプラグインFunnelKit Automationsの3.8.6.1以前に、ログイン不要で外部から突かれる重大な脆弱性が見つかりました。導入しているサイトは版を確認し、修正版へ更新してください。
急ぎ度: 早めに
CVSS v3が9.8と最高水準で、認証なしにネットワーク越しで悪用できる評価のため、公開直後の今のうちに更新するのが妥当です。
関係があるか
WordPressにFunnelKit Automationsを入れ、インターネットに公開しているサイトが対象です。WooCommerceの店舗サイトやメールの自動配信に使っている企業、制作会社が預かっている顧客サイトも含まれます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| FunnelKit Automations（WordPressプラグイン） | 3.8.6.1以前 | 3.8.6.1より新しい版。具体的な版番号はベンダーの告知で確認してください |
確かめ方
- 1WordPress管理画面のプラグイン一覧で、FunnelKit Automationsが入っているか、版がいくつかを見ます。有効化していないものも対象に含めて探します。
- 2サーバーに入れる場合は、WP-CLIで
wp plugin listを実行し、一覧から名前と版を確認します。 - 3本番サイトだけでなく、ステージング環境や、制作会社・委託先が管理しているサイトも洗い出します。
何が起きたか
WordPressプラグインのFunnelKit Automationsに、ログインしていない外部の人が送ったデータをもとに、サーバー側で想定外のオブジェクトが作られてしまう脆弱性が見つかりました。悪用されると、サイトの情報が読み取られ、書き換えられ、サービスが止まる恐れがあります。
種類はPHP Object Injectionで、CWEでは安全でないデシリアライズ（CWE-502）に分類されています。影響するのは3.8.6.1以前の版で、CVSS v3は9.8、深刻度はcriticalです。公開は2026年10月30日で、まだ日が浅い状況です。
攻撃の流れ
-
1
外部から到達
インターネットに公開されたWordPressサイトに、ログインしていない第三者がアクセスします。
-
2
細工データ送信
脆弱な版のプラグインに、特別に作られたデータが送られます。
-
3
オブジェクト生成
プラグインがそのデータを復元し、想定外のオブジェクトが作られます。
-
4
サイトへの被害
同じ環境のコード次第で、情報の閲覧、改ざん、停止などが起こりえます。
どう悪用されるか
悪用にログインは要らず、ネットワーク経由で届けば足ります。攻撃の複雑さは低く、サイト管理者や訪問者に何かをさせる必要もありません。CVSSのベクターでは、権限も利用者の操作も不要とされています。
被害の大きさは、機密性・完全性・可用性のすべてが高いと評価されています。顧客情報の流出、ページや設定の書き換え、サイトの停止まで想定される水準です。
今すぐやること
-
1
導入の有無と版を確認する
管理画面かWP-CLIでFunnelKit Automationsの版を確認します。3.8.6.1以前なら対象です。
wp plugin list -
2
修正版へ更新する
ベンダーの告知で修正版の版番号を確かめ、更新します。更新前にファイルとデータベースのバックアップを取っておくと、不具合が出たときに戻せます。
-
3
更新できないサイトを洗い出す
検証が終わっていない、委託先の承認待ちなどで当てられないサイトは、後述の回避策を適用し、更新の日程を決めます。
-
4
公開後のアクセスと改変を点検する
2026年10月30日以降のアクセスログに不審な送信がないか、見覚えのない管理者アカウントや最近書き換えられたファイルがないかを見ます。実際の悪用が確認されたかは告知で確認してください。
すぐ更新できないとき
すぐに更新できないときは、FunnelKit Automationsを一時的に無効化するのが確実です。無効化するとメールなどの自動配信は止まるため、業務への影響を見て判断してください。WAFで防げるかは製品ごとの対応ルール次第なので、これだけに頼らず、ベンダーの告知に回避策がないかも確認してください。
背景
FunnelKit Automationsは、WooCommerceのストアで顧客の行動や注文をきっかけに、メールなどを自動で送るためのプラグインです。そのため、顧客の氏名・連絡先・購入履歴を持つサイトに入っていることが多く、脆弱性が見つかると影響が個人情報に及びやすい製品です。
PHP Object Injectionは、外部から届いたデータをPHPのオブジェクトに戻す処理で、攻撃者が意図したクラスのオブジェクトを作れてしまう問題です。実際にどこまで被害が広がるかは、同じサイトに入っている他のプラグインやテーマのコードに左右されます。CVSSが9.8と高いのは、最悪の場合を想定した評価と読めます。
よくある質問
Q.プラグインを入れているだけで、有効化していない場合も対象ですか。
Q.WAFを入れているので、更新しなくても大丈夫ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| FunnelKit | FunnelKit Automations |
3.8.6.1 以前 |
— |
| Aman | FunnelKit Automations |
3.8.6.1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in FunnelKit Automations <= 3.8.6.1 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com