WooCommerce Subscriptionsに未認証RCE（CVE-2026-18391）

WordPressプラグイン「WooCommerce Subscriptions」の脆弱性情報（CVE-2026-18391）。影響バージョンは4.7.0以上 9.1.0未満（High-Performance Order Storage有効環境）。修正版 9.1.0（旧系統のセキュリティ修正版: 7.9.1 / 8.8.2） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WooCommerce Subscriptions（プラグイン）

CVE

CVE-2026-18391

CVSS / 深刻度

9.8 / Critical

影響バージョン

4.7.0以上 9.1.0未満（High-Performance Order Storage有効環境）

修正版

9.1.0（旧系統のセキュリティ修正版: 7.9.1 / 8.8.2）

脆弱性種別

未認証PHP Object Injection → Remote Code Execution

脆弱性の概要

WooCommerce Subscriptionsの旧バージョンには、High-Performance Order Storage（HPOS）が有効なストアで、認証されていない攻撃者がPHP Object Injectionを悪用し、Remote Code Executionへ到達できるCritical脆弱性があります。WooCommerce公式は、最も深刻な問題では未認証ユーザーがサイトを制御できる可能性があるとして、9.1.0以上への即時更新を案内しています。

技術的な内容

ユーザー入力を十分に検証せずunserializeする経路があり、HPOS有効環境でPHP Object Injectionが成立します。WPScanでは、プラグインに含まれる依存ライブラリのgadget chainを介してRCEへ連鎖可能とされ、CVSS 9.8 Criticalと評価されています。WooCommerce公式は現時点で侵害や顧客データアクセスの証拠はないとしています。

悪用状況

実攻撃は未確認

推奨対応

WooCommerce Subscriptionsを9.1.0以上へ直ちに更新してください。互換性上旧系統を維持する場合は7.9.1または8.8.2などのセキュリティ修正版を使用してください。影響バージョンを公開していた場合は、アクセスログ、ファイル改ざん、不審なAdministrator、プラグイン変更を確認し、侵害が疑われる場合はパスワードとAPIキーをローテーションしてください。

情報源

• WooCommerce公式（セキュリティ告知）
• CVE.org（CVEレコード）
• WPScan（技術解析・CVSS）

情報確認日時：2026年9月3日 06:44

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。