WooCommerce Wholesale Lead Captureの未認証任意ファイルアップロード脆弱性で実攻撃確認（CVE-2026-27540）

WordPressプラグイン「WooCommerce Wholesale Lead Capture」の脆弱性情報（CVE-2026-27540）。影響バージョンは2.0.3.1以下。修正版 2.0.3.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WooCommerce Wholesale Lead Capture（プラグイン）

CVE

CVE-2026-27540

CVSS / 深刻度

9 / Critical

影響バージョン

2.0.3.1以下

修正版

2.0.3.2

脆弱性種別

未認証の任意ファイルアップロード / Remote Code Execution

脆弱性の概要

WooCommerce Wholesale Lead Capture 2.0.3.1以下には、未認証の攻撃者がPHPなどの任意ファイルをアップロードし、Remote Code Executionやサイト完全侵害につながる脆弱性があります。Wordfenceは2026年9月14日に実攻撃を改めて警告し、累計10万件超の悪用試行をブロックしたと報告しています。

技術的な内容

ファイルアップロード処理のファイル種別検証が不十分なことが原因です。CVE/PatchstackのCVSSは9.0 Critical、Wordfenceは9.8 Criticalと評価しています。Wordfence Threat Intelligenceでは直近24時間だけでも2,287件の攻撃をブロックしており、同社の2026年9月14日付アドバイザリでは累計10万件超の悪用試行を確認しています。開発元の変更履歴では2.0.3.2にセキュリティ修正・改善が含まれています。

悪用状況

実攻撃を確認

推奨対応

2.0.3.2以上、可能であれば現行最新版へ直ちに更新してください。脆弱なバージョンを使用していた場合は、wp-content/uploads等のWeb公開領域に不審なPHP・PHTML・Webシェルがないか確認し、不審なAdministratorやユーザー、ファイル改変、Web/PHPログを監査してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

• Wholesale Suite公式変更履歴（開発元・2.0.3.2セキュリティ修正）
• CVE.org（CVE情報・影響範囲）
• Patchstack（CNA・技術情報）
• Wordfence Threat Intelligence（技術解析・直近攻撃テレメトリ）
• Wordfence（2026年9月14日・実攻撃確認）

情報確認日時：2026年9月15日 06:24

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。