WORDPRESS SECURITY

zipMoney(Zip Co) Payments Plugin for WooCommerceに未認証で任意WordPress設定を削除できるCritical脆弱性（CVE-2026-78361）

Critical

WordPressプラグイン「zipMoney(Zip Co) Payments Plugin for WooCommerce」の脆弱性情報（CVE-2026-78361）。影響バージョンは2.4.0未満。修正版 2.4.0 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: zipMoney(Zip Co) Payments Plugin for WooCommerce（プラグイン）
CVE: CVE-2026-78361
CVSS / 深刻度: 9.1 / Critical
影響バージョン: 2.4.0未満
修正版: 2.4.0
脆弱性種別: 未認証の任意WordPressオプション削除 / Missing Authorization / 設定破壊・サービス停止

脆弱性の概要

zipMoney(Zip Co) Payments Plugin for WooCommerce 2.4.0未満には、未認証の攻撃者が任意のWordPressオプションを削除できるCritical脆弱性があります。重要なサイト設定やアクセス制御関連設定、プラグイン有効化状態などを破壊し、決済機能停止やサイト停止につながる可能性があります。

技術的な内容

フロントエンドの公開リクエストハンドラで認可確認が行われず、削除対象のWordPressオプション名にも許可リスト等の制限がないため、未認証の攻撃者が任意のオプション名を指定して削除できます。CVSS 9.1 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）。WordPress.orgの2.4.0変更履歴ではpublic endpointsのセキュリティ問題を修正したことが明記されています。CISA ADPのSSVCはExploitation:none、Automatable:yes、Technical Impact:partialで、現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

zipMoney(Zip Co) Payments Plugin for WooCommerceを2.4.0以上へ直ちに更新してください。更新できない場合はプラグインを停止し、脆弱な公開エンドポイントへの外部アクセスをWAF等で制限してください。wp_optionsの重要設定欠損、プラグインの予期しない無効化、決済機能やサイト設定の異常を確認し、影響がある場合は正常なバックアップから復旧してください。

情報源

情報確認日時：2026年9月13日 12:58

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。