Custom User Registration Fields for WooCommerceに未認証の管理者権限昇格（CVE-2026-15369）

WordPressプラグイン「Custom User Registration Fields for WooCommerce」の脆弱性情報（CVE-2026-15369）。影響バージョンは2.2.3以下。修正版 2.2.4 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Custom User Registration Fields for WooCommerce（プラグイン）

CVE

CVE-2026-15369

CVSS / 深刻度

9.8 / Critical

影響バージョン

2.2.3以下

修正版

2.2.4

脆弱性種別

未認証の権限昇格 / Administratorアカウント作成

脆弱性の概要

WooCommerce Store APIのチェックアウト処理を悪用し、認証されていない攻撃者が新規アカウントへAdministratorロールを付与できるCritical脆弱性です。CVSS 9.8で、Patchstackは2026年9月1日時点で実悪用対象として掲載しています。

技術的な内容

攻撃者が指定したafreg_select_user_roleが十分な検証なしにWP_User::add_role()へ渡されることが原因です。User Role Selection設定が有効な環境が主な攻撃条件です。公式2.2.4では未認証権限昇格の修正とロール割当検証の追加が明記されています。

悪用状況

実攻撃を確認

推奨対応

2.2.4以上へ直ちに更新してください。User Role Selectionを有効にしていた場合は、影響期間中に作成されたユーザー、不審なAdministrator権限、注文・チェックアウト履歴、管理者セッションを確認してください。

情報源

• WooCommerce Marketplace（公式）
• Addify公式（変更履歴）
• CVE.org（CVEレコード）
• Wordfence（技術解析）
• Patchstack（実悪用情報）

情報確認日時：2026年9月1日 18:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。