WORDPRESS SECURITY

MIPL Grouped Checkout Fields for WooCommerceに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-8778）

Critical

WordPressプラグイン「MIPL Grouped Checkout Fields for WooCommerce. Customize & Organize Checkout Fields.」の脆弱性情報（CVE-2026-8778）。影響バージョンは1.2.1以下（CVE本文。関連タイトルでは1.2.2以下表記あり）。修正版 1.2.3以降を推奨（現行1.2.4）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: MIPL Grouped Checkout Fields for WooCommerce. Customize & Organize Checkout Fields.（プラグイン）
CVE: CVE-2026-8778
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.2.1以下（CVE本文。関連タイトルでは1.2.2以下表記あり）
修正版: 1.2.3以降を推奨（現行1.2.4）
脆弱性種別: 未認証の任意ファイルアップロード / Remote Code Execution

脆弱性の概要

MIPL Grouped Checkout Fields for WooCommerceには、未認証の攻撃者が危険なファイルをサーバーへアップロードできるCritical級の脆弱性があります。PHP等の実行可能ファイルが保存・実行される構成ではRCEとサイト完全侵害につながります。

技術的な内容

mipl_wc_upload_file()のファイル種別検証不足により、未認証攻撃者が任意ファイルをアップロードできます。CVE本文は1.2.1以下を影響範囲としている一方、一部のCVEタイトルでは1.2.2以下と表記されているため、1.2.2も安全とみなさず更新を推奨します。CVSS 9.8 Critical。WordPress.orgでは1.2.3および1.2.4にセキュリティ修正が記載され、現行版は1.2.4です。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

現行1.2.4へ直ちに更新してください。更新できない場合はプラグインを停止し、checkout経由のファイルアップロードを制限してください。wp-content/uploads等に不審なPHP/PHTML/PHARや最近追加された実行可能ファイルがないか、Webサーバーログとあわせて確認してください。

情報源

情報確認日時：2026年9月12日 06:24

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。