The Hacker News 2026/09/16 05:48

WooCommerceとイベント管理のWordPressプラグインに深刻な脆弱性、Webシェル設置やサイト乗っ取りの被害が報告される

要点

有料WordPressプラグイン「WooCommerce Wholesale Lead Capture」に、認証なしで任意のファイルをアップロードできる深刻な脆弱性が確認された。
脆弱性を悪用して遠隔操作用のWebシェルを設置する攻撃が活発化しており、セキュリティ企業により10万件以上の攻撃試行がブロックされている。
60万件以上のサイトで使われる「The Events Calendar」でも、OSコマンド実行や管理者パスワードのリセットにつながる2件の深刻な脆弱性が判明した。
該当するプラグインの開発元やセキュリティ企業は、ファイルの点検や修正済みバージョンへの更新といった対応状況を明らかにしている。
WordPress向けの商用プラグイン「WooCommerce Wholesale Lead Capture」およびイベント管理プラグイン「The Events Calendar」において、遠隔から認証なしで任意のコードを実行される恐れのある深刻な脆弱性が相次いで確認された。セキュリティ企業のWordfenceが公表した情報によると、一部のプラグインではすでに脆弱性を突いてWebシェルを送り込む攻撃が活発に行われているという。いずれの脆弱性も共通脆弱性評価システム（CVSS：脆弱性の深刻度を0から10の数値で評価する指標）で最高クラスとなる「9.8」と評価されており、影響を受ける環境に対して注意が呼びかけられている。

WooCommerce Wholesale Lead Captureで任意のPHPファイル設置が可能に

6,000件以上のアクティブインストールを持つ「WooCommerce Wholesale Lead Capture」で確認されたのは、「CVE-2026-27540」（CVSSスコア9.8）として識別される脆弱性だ。このプラグインは、卸売向けの見込み客情報を収集・管理するために利用されている。

Wordfenceの報告によると、非同期通信（AJAX：ページを再読み込みせずにサーバーと通信する技術）を処理するアクション「wwlc_file_upload_handler」において、アップロードされるファイルの拡張子や種類を適切に検証する処理が欠落していたという。この欠陥は、バージョン2.0.3.1以下のすべてのバージョンに影響する。

認証を受けていない第三者であっても細工したリクエストを送信することで、サーバー上に任意のファイルをアップロードできる状態になっており、PHPプログラムを直接実行させるリモートコード実行（RCE：遠隔から不正なプログラムを実行する攻撃）へとつながる危険性がある。

10万件超の攻撃を検知、Webシェルによるサーバー情報の収集手口

実際に観測された攻撃では、細工された「file_settings」パラメータとともに「shell.php」と名付けられた悪意あるPHPファイルが送信されていた。

このファイルはWebシェル（サーバーをブラウザ等から遠隔操作するために設置される不正スクリプト）として機能する。設置されるとホストの詳細情報を攻撃者に報告するほか、追加の不正ファイルを書き込むためのブラウザ向けアップロードフォームを提供する仕組みを備えているという。

Wordfenceは、2026年6月以降にこの脆弱性を狙った攻撃試行を10万件以上ブロックしており、直近の24時間だけでも99件の攻撃を記録したと説明している。同社は攻撃元として以下のIPアドレスを特定・公開している。

92.241.13.213
31.59.129.150
2a0f:85c1:840:5389::1
92.241.13.140
23.137.105.214
23.180.120.140
104.194.9.138
187.75.114.36
114.10.43.203
37.114.144.209

攻撃が成功すると任意のPHPファイルが配置されてしまうため、Wordfenceはサイト管理者に対し、主に「uploads」ディレクトリ内に見覚えのない新しい.phpファイルが存在しないか確認することや、「/wp-admin/admin-ajax.php」宛ての上記IPアドレスからの不審な通信ログを調査するよう促している。

60万サイト導入の「The Events Calendar」にも2系統の深刻なRCE欠陥

Wordfenceはあわせて、60万件以上のWebサイトに導入されているイベント管理プラグイン「The Events Calendar」においても、認証なしでリモートコード実行に至る2系統の脆弱性チェーン（複数の不備を組み合わせて悪用する手法）を特定したと発表した。

これらの脆弱性は、イベントページでコメント機能が有効になっており、かつプラグインの設定で「イベントページにコメントを表示する（Show comments on event pages）」オプションがオンになっている場合に悪用が可能となる。WordPressの承認待ちコメントプレビュー機能を経由することで、管理者の承認を受けずに攻撃を成立させられる点が特徴だという。判明した欠陥の詳細は以下の通りである。

CVE-2026-78159（CVSSスコア9.8）：バージョン6.17.3以下に影響。「parse_array」関数におけるウィジェットの「classes」マップの検証不備に起因する。PHPオブジェクトインジェクション（外部から不正なオブジェクトデータを送り込み、意図しない処理を実行させる手法）を悪用し、サーバー上で任意のOSコマンドを実行できる。
CVE-2026-78006（CVSSスコア9.8）：バージョン6.17.4以下に影響。「is_safe_widget_instance」関数の保護不足に起因する。オブジェクトインジェクションへの防御を回避し、任意の処理を呼び出せる仕組みを悪用して管理者のパスワードをリセットする。その後、不正なプラグインをアップロードすることでサイト全体を掌握できる。

いずれの手法もウィジェットの描画処理パイプラインから開始され、最終的に未認証での遠隔コード実行を可能にする。Wordfenceは、これらの欠陥が悪用された場合、サイトの完全な乗っ取りや機密データの漏えい、マルウェアの配布拠点化につながる恐れがあると警告している。

なお、同プラグインを開発するStellarWPはすでに対策を施しており、CVE-2026-78159についてはバージョン6.17.3.1、CVE-2026-78006についてはバージョン6.17.4.1でそれぞれ修正が行われている。

元URL

https://thehackernews.com/2026/09/attackers-exploit-woocommerce-wholesale.html