WP ERPに未認証の任意ファイルアップロードからRCEにつながるCritical脆弱性（CVE-2026-18080）

WordPressプラグイン「ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce」の脆弱性情報（CVE-2026-18080）。影響バージョンは1.17.8以下。修正版 1.17.9 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce（プラグイン）

CVE

CVE-2026-18080

CVSS / 深刻度

9.8 / Critical

影響バージョン

1.17.8以下

修正版

1.17.9

脆弱性種別

未認証の任意ファイルアップロード / Path Traversal / Remote Code Execution

脆弱性の概要

WP ERP 1.17.8以下には、CRM Email Connectの受信メール添付ファイル処理を悪用して未認証攻撃者がPHP等の危険なファイルを書き込み、サーバー構成によってはRCEとサイト完全侵害へ到達できるCritical脆弱性があります。悪用にはCRMモジュールとIMAP Email Connectが有効・設定済みであることが必要です。

技術的な内容

CRM Email Connectのsave_attachments()で添付ファイル名の検証とパス正規化が不十分なため、細工したメールヘッダーとパストラバーサルを含むファイル名を利用し、IMAP同期時に保護対象ディレクトリ外へPHPファイルを書き込める可能性があります。CVE/CNA評価はCVSS 9.8 Criticalです。WordPress.orgでは1.17.8の変更履歴にCRM受信メール添付ファイル名の検証強化が記載されていますが、CVEの影響範囲とPatchstackの修正版情報では1.17.8以下が影響し、1.17.9が修正版です。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

1.17.9以上へ直ちに更新してください。更新までCRMのIMAP Email Connectを無効化し、wp-content/uploads等でPHP実行を禁止してください。影響構成を運用していた場合は、不審なPHP/PHTML/PHAR、IMAP同期履歴、未知の管理者・変更ファイルを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

• WordPress.org（開発元公式・現行版／変更履歴）
• CVE.org（CVE情報・影響範囲／CVSS）
• Patchstack（技術解析・修正版情報）

情報確認日時：2026年9月11日 06:14

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。