LiteSpeed Cache 7.9.1以下でWooCommerceの顧客情報とCart-Tokenが漏えいする可能性（CVE-2026-93389）

WordPressプラグイン「LiteSpeed Cache」の脆弱性情報（CVE-2026-93389）。影響バージョンはLiteSpeed Cache 7.9.1以下。WooCommerceを利用し、LiteSpeed CacheのREST APIキャッシュ（既定ではcache-rest=1）が有効で、WooCommerce Store APIのcart/checkout応答が公開キャッシュとして配信される構成。。修正版 LiteSpeed Cache 7.9.2以降（2026年10月20日リリース）。2026年11月5日時点の最新版は7.9.3。 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

LiteSpeed Cache（プラグイン）

CVE

CVE-2026-93389

CVSS / 深刻度

8.2 / High

影響バージョン

LiteSpeed Cache 7.9.1以下。WooCommerceを利用し、LiteSpeed CacheのREST APIキャッシュ（既定ではcache-rest=1）が有効で、WooCommerce Store APIのcart/checkout応答が公開キャッシュとして配信される構成。

修正版

LiteSpeed Cache 7.9.2以降（2026年10月20日リリース）。2026年11月5日時点の最新版は7.9.3。

脆弱性種別

認証不要の機密情報漏えい／WooCommerceカート・チェックアウトセッションの乗っ取りにつながり得る公開RESTキャッシュの分離不備

脆弱性の概要

2026年11月4日、WordfenceがLiteSpeed CacheのCVE-2026-93389を公表しました。7.9.1以下では、WooCommerceのカート・チェックアウト用REST API応答を、利用者別に分離せず公開キャッシュに保存する場合があります。認証していない第三者に別の購入者の氏名・住所・メールアドレス・電話番号などの請求／配送先情報、カートの内容、Cart-Tokenやチェックアウト情報が返され、カート・チェックアウトのセッションを乗っ取られる恐れがあります。Wordfence評価CVSS v3.1は8.2（High）。修正版7.9.2は既に公開され、最新版7.9.3でも修正済みです。実攻撃の確認はありません。WooCommerceを使っていないサイトすべてで個人情報漏えいが起きるという意味ではありません。

技術的な内容

脆弱性はLiteSpeed Cache本体（slug: litespeed-cache）のREST応答キャッシュ制御にあります。cache-rest=1（既定値）でWooCommerce Store APIのGET /wc/store/v1/cartおよび/wc/store/v1/checkoutがPUBLICキャッシュに格納され、Cart-TokenやWooCommerceセッションごとのキャッシュ分離が行われないことがあります。既に別の購入者の応答がキャッシュされた場合、CookieやCart-Tokenを持たないリクエストでもキャッシュHIT経由でその応答を取得し得ます。請求先・配送先の個人情報、カート・金額のほか、Cart-Token、nonce、checkoutのorder_keyが含まれる可能性があり、攻撃者にカート／チェックアウト状態を不正利用される危険があります。Wordfenceが2026年11月4日に公表したCVE-2026-93389で、CVSS v3.1 8.2（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）。WordPress.orgの7.9.2更新履歴には閲覧者間のキャッシュ分離とWooCommerceカート応答の保護が含まれています。WordPress管理者権限の奪取やサーバーRCEを示す脆弱性ではありません。侵害や情報流出の実例は公表情報で確認されていません。

悪用状況

実攻撃は未確認

推奨対応

LiteSpeed Cacheを7.9.2以上、可能なら公開中の最新版7.9.3へ速やかに更新し、更新後にLiteSpeedサーバー・CDN等に残るキャッシュを削除してください。WooCommerceの利用有無、REST APIキャッシュ設定、/wc/store/v1/cartおよび/wc/store/v1/checkoutが匿名のPUBLICキャッシュとして配信されないことを確認してください。更新までの暫定措置として該当Store API応答のキャッシュを無効化し、購入者ごとのカート・チェックアウト表示と注文処理を確認してください。実際に機密情報を返した疑いがある場合はアクセスログとキャッシュ設定を保全して影響範囲を調査し、必要に応じて利用者対応を検討してください。

情報源

• Wordfence Intelligence（2026-11-04公表：CVE-2026-93389・CVSS v3.1 8.2・発生条件）
• WordPress.org（LiteSpeed Cache開発元の7.9.2修正履歴と最新版7.9.3）
• CVE.org（CVE-2026-93389の識別子）

情報確認日時：2026年11月5日 06:59

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。