WORDPRESS SECURITY

SMS Alert Order NotificationsにSubscriber権限からの権限昇格脆弱性（CVE-2026-62106）

High

WordPressプラグイン「SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery」の脆弱性情報（CVE-2026-62106）。影響バージョンは3.9.9以下。修正版 4.0.0 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery（プラグイン）
CVE: CVE-2026-62106
CVSS / 深刻度: 8.8 / High
影響バージョン: 3.9.9以下
修正版: 4.0.0
脆弱性種別: 認証済みSubscriber+ 権限昇格

脆弱性の概要

SMS Alert Order Notifications 3.9.9以下には、Subscriber権限の低権限ユーザーが権限昇格し、サイトの機密性・完全性・可用性に重大な影響を与え得る脆弱性があります。

技術的な内容

CVE-2026-62106はSubscriber Privilege Escalationとして公開され、CVSS 8.8 High（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）です。3.9.9以下が影響し、4.0.0は非影響として登録されています。WordPress.orgの4.0.0変更履歴でもLogin with OTP処理のセキュリティ修正が記載されています。現時点でCISA KEV掲載、公開PoC、信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

4.0.0以上へ直ちに更新してください。Subscriber等の低権限アカウント、OTPログイン履歴、予期しないロール・権限変更、未知の管理者アカウントを確認してください。更新までLogin with OTP機能を無効化できる場合は無効化を検討してください。

情報源

情報確認日時：2026年9月12日 18:17

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。