Sipayの決済モジュールで決済状況を操作される脆弱性、修正版あり
WooCommerce向けのSipay決済モジュールに、決済の状況を不正に操作されるおそれのある脆弱性が公表されました。該当する版を使うECサイトは修正版へ更新し、直近の注文の入金状況を決済側の記録と突き合わせてください。
急ぎ度: 早めに
CVSS v3は9.1で修正版も出ているため、公表直後の今週中を目安に更新する段階です。
関係があるか
WordPressのWooCommerceに、Sipay Electronic Money and Payment Services Inc.の決済モジュール（WooCommerce Virtual POS Module）を組み込んでいるECサイトが対象です。決済の成否で出荷や会員権限の付与を自動で進めている店舗ほど、影響を受けやすいと考えられます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WooCommerce Virtual POS Module（Sipay Electronic Money and Payment Services Inc.） | 26.8.3以上、26.9.1未満 | 26.9.1 |
確かめ方
- 1WordPressの管理画面でプラグインの一覧を開き、Sipayの決済モジュールが入っているか、版がいくつかを確認します。
- 2サーバーにWP-CLIがあれば、
wp plugin listで導入済みプラグインと版の一覧を見られます。 - 3版が26.8.3以上26.9.1未満なら対象です。複数のサイトを運用しているなら、テスト環境や別ドメインのサイトも見落とさないようにします。
何が起きたか
WooCommerceで使うSipayの決済モジュールに、決済の状況を不正に操作できる脆弱性が見つかりました。2026年11月11日にCVEが公表され、修正版も同時に案内されています。
原因として挙げられているのは2点です。決済に関わる重要な機能に認証がないこと（CWE-306）と、データが改ざんされていないかを確かめる整合性チェック値の検証が不適切なこと（CWE-354）です。結果として、認証の回避と、アプリケーションのAPIメッセージの操作につながるとされています。
CVSS v3は9.1で、深刻度はcriticalです。
攻撃の流れ
-
1
対象モジュール稼働
該当する版のモジュールを入れたECサイトが、インターネットから到達できる状態にあります。
-
2
認証なしで到達
決済に関わる機能が認証を求めないため、ログインなしで呼び出せます。
-
3
整合性検証を素通り
メッセージの整合性チェック値が正しく検証されず、内容の改ざんが見逃されます。
-
4
決済状況が変わる
実際の決済結果と食い違う状況が、ショップ側に反映されるおそれがあります。
どう悪用されるか
CVSSのベクターでは、ネットワーク経由で攻撃でき、特別な条件は要らず、認証も利用者の操作も不要とされています。CVEの記述には、通信の途中に入る中間者攻撃によるAPIメッセージの操作も挙げられています。
影響は、機密性と完全性が高、可用性は影響なしと評価されています。ショップの運用に当てはめると、実際には支払われていない注文が支払い済みとして扱われ、商品の出荷やデジタルコンテンツの提供が進んでしまう被害が想定されます。決済関連の情報が外部に読まれるおそれもありますが、どの情報かまでは示されていません。
今すぐやること
-
1
対象の版かどうかを確認する
管理画面やWP-CLIで、Sipayの決済モジュールの版を確認します。複数サイトがあれば、すべてのサイトで見ます。
wp plugin list -
2
修正版へ更新する
バックアップを取ったうえで、モジュールを修正版へ更新します。更新後は、テスト注文で決済の完了までが正しく動くことを確認します。
-
3
公表前後の注文を決済側の記録と照合する
該当する版を動かしていた期間の注文について、ショップ上の決済状況と、決済事業者側の入金記録を突き合わせます。支払いの記録がないのに支払い済みになっている注文があれば、出荷を止めて調べます。
-
4
ベンダーの告知で補足を確認する
参照先に挙がっている公的機関の告知と、Sipayの案内で、攻撃を受けた場合の確認項目や追加の対策がないかを見ておきます。
すぐ更新できないとき
すぐに更新できないときは、このモジュールによる決済方法を一時的に無効にして別の決済手段に切り替え、出荷前に入金を決済事業者の管理画面で目視確認する運用が考えられます。これは一般的なつなぎで、ベンダーが示した回避策ではありません。
背景
Virtual POSモジュールは、WooCommerceのショップと決済事業者をつなぎ、カードなどの決済結果をショップの注文に反映する部品です。ショップは、決済事業者から戻ってきた結果を見て、注文を支払い済みにし、出荷や会員権限の付与に進みます。この結果の受け渡しが正しいと確かめられなければ、ショップは実際の入金と無関係に注文を進めてしまいます。
今回の2種類のCWEは、どちらもその受け渡しに関わります。重要な機能に認証がないことと、メッセージの整合性チェック値の検証が不十分なことが重なると、ショップが決済結果を信じてよいかを判断できなくなります。
よくある質問
Q.WordPress本体やWooCommerceを更新すれば直りますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Sipay Electronic Money and Payment Services Inc.WooCommerce Virtual POS Module |
26.8.3 以上 26.9.1 未満→ 26.9.1 |
26.9.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing authentication for critical function and Improper validation of integrity check value vulnerability in Sipay Electronic Money and Payment Services Inc. WooCommerce Virtual POS Module allows Authentication Bypass and Application API Message Manipulation via Man-in-the-Middle.
This issue affects WooCommerce Virtual POS Module: from 26.8.3 before 26.9.1.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web iletisim@usom.gov.tr
- web nvd.nist.gov
- web github.com