WORDPRESS SECURITY

Welcart e-Commerceに未認証PHP Object Injectionからサイト侵害につながる脆弱性（CVE-2026-19887）

High

WordPressプラグイン「Welcart e-Commerce」の脆弱性情報（CVE-2026-19887）。影響バージョンは2.12.1以下。修正版 2.12.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Welcart e-Commerce（プラグイン）
CVE: CVE-2026-19887
CVSS / 深刻度: 8.8 / High
影響バージョン: 2.12.1以下
修正版: 2.12.2
脆弱性種別: 未認証PHP Object Injection／任意ファイル削除／RCEにつながる可能性

脆弱性の概要

Welcart e-Commerce 2.12.1以下には、公開チェックアウトとTelecom EDY決済コールバックを悪用した未認証PHP Object Injection脆弱性があります。プラグイン同梱TCPDFのPOP chainにより任意ファイル削除が可能で、wp-config.php削除後の再インストール誘導などを通じてRCE・サイト侵害につながる可能性があります。

技術的な内容

攻撃者が公開チェックアウトでreserveメタデータへ任意値を保存し、その後Telecom EDYコールバックのoption指定を利用して信頼できないデータをデシリアライズできることが原因です。攻撃成立には管理者が請求書を印刷する操作が必要なためCVSSは8.8 Highですが、任意ファイル削除からサイト侵害へ発展し得ます。WordPress.orgの2.12.2変更履歴ではPHP Object Injection対策としてmaybe_unserialize()の置換とフロント入力のサニタイズが明記されています。実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Welcart e-Commerceを2.12.2以上へ直ちに更新してください。Telecom EDYを利用しているサイトは優先度を上げ、wp-config.phpや最近変更・削除されたファイル、注文メタデータ、決済コールバックのアクセスログを確認してください。拡張機能やテーマ側で注文・会員データにmaybe_unserialize()を使用している場合は同様の安全化も必要です。

情報源

情報確認日時：2026年9月6日 12:14

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。