Mail Mintに未認証PHP Object InjectionからRCEにつながる脆弱性（CVE-2026-10196）

WordPressプラグイン「Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails」の脆弱性情報（CVE-2026-10196）。影響バージョンは1.31.0以下。修正版 1.31.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails（プラグイン）

CVE

CVE-2026-10196

CVSS / 深刻度

9.8 / Critical

影響バージョン

1.31.0以下

修正版

1.31.1

脆弱性種別

未認証PHP Object Injection（POP chain存在時にRCE）

脆弱性の概要

Mail Mint 1.31.0以下では、公開フォーム送信時の信頼できない入力がデシリアライズされ、未認証の攻撃者が任意のPHPオブジェクトを注入できる脆弱性があります。利用可能なPOP chainが存在する環境ではサーバー上のコード実行につながります。

技術的な内容

handle_form_submissionでユーザー入力を安全に処理せずデシリアライズすることが原因です。CVE CNA評価はCVSS 9.8 Critical。公式1.31.1の変更履歴で、カスタムフィールド送信から任意PHPオブジェクトを生成できないよう修正したことが明記されています。現時点で実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Mail Mintを1.31.1以上へ直ちに更新してください。更新前に公開フォームを運用していた場合は、不審な管理者、最近変更されたPHPファイル、Cron・オプション変更、フォーム送信周辺のアクセスログを確認してください。

情報源

• WordPress.org公式（1.31.1変更履歴）
• CVE.org（CVEレコード）
• Wordfence（CNA・脆弱性情報）

情報確認日時：2026年9月6日 06:43

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。