WooCommerce 9.8.0〜11.1.2でShop Managerの権限昇格につながる不適切なユーザー編集権限（CVE-2026-106608）

WordPressプラグイン「WooCommerce」の脆弱性情報（CVE-2026-106608）。影響バージョンは9.8.0〜11.1.2。修正版 11.2.0 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WooCommerce（プラグイン）

CVE

CVE-2026-106608

CVSS / 深刻度

7.2 / High

影響バージョン

9.8.0〜11.1.2

修正版

11.2.0

脆弱性種別

認証済み権限昇格 / ユーザー編集権限の不備（Shop Manager）

脆弱性の概要

WooCommerce 9.8.0〜11.1.2では、Shop Manager権限を持つユーザーが、許可されたロール以外の追加ロールを併せ持つ別ユーザーのアカウントを編集できる権限制御不備があります。対象アカウントの権限構成によっては高権限ユーザーの情報改変・権限昇格につながります。2026年10月8日にCVE-2026-106608として公開されました。

技術的な内容

WooCommerce公式11.2.0セキュリティ更新（2026-10-07）と修正PR #69533では、Shop Managerが本来編集できない追加ロールを持つユーザーを編集できていた問題を修正しています。Patchstackは影響範囲9.8.0〜11.1.2、修正版11.2.0、CVSS 3.1 7.2（High）、必要権限Shop Managerと評価しています。管理者権限なし・未認証で直ちに悪用できる脆弱性ではありません。実攻撃の独立した観測情報は確認できていません。

悪用状況

実攻撃は未確認

推奨対応

WooCommerceを11.2.0以上へ更新してください。現行の11.2.1が公開済みのため、互換性検証後は11.2.1以上を推奨します。特にShop Managerを外部委託先などへ付与する環境では、兼任ロールを持つユーザーの編集・権限変更履歴を確認してください。更新時は決済・注文・チェックアウトを検証してください。

情報源

• WooCommerce開発元（公式11.2.0リリース・Shop Manager権限のセキュリティ修正）
• WooCommerce GitHub（修正コード・Pull Request #69533）
• Patchstack（CVE識別子・影響範囲・CVSS評価）
• WooCommerce開発元（11.2.1最新版・不具合修正）

情報確認日時：2026年10月10日 12:32

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。