WORDPRESS SECURITY

Next-Cart Store to WooCommerce Migrationに未認証の認証回避、管理者作成・任意ファイル削除でサイト乗っ取り（CVE-2026-76009）

High

WordPressプラグイン「Next-Cart Store to WooCommerce Migration」の脆弱性情報（CVE-2026-76009）。影響バージョンは3.9.8以下。修正版 3.9.9 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月10日

対象製品: Next-Cart Store to WooCommerce Migration（プラグイン）
CVE: CVE-2026-76009
CVSS / 深刻度: 8.1 / High
影響バージョン: 3.9.8以下
修正版: 3.9.9
脆弱性種別: 未認証の認証回避 / 任意SQL実行 / 管理者アカウント作成 / 任意ファイル削除

脆弱性の概要

Next-Cart Store to WooCommerce Migration 3.9.8以下には、特定状態のサイトで未認証の攻撃者がREST APIの認証を回避し、任意SQL実行による管理者アカウント作成や任意ファイル削除を行い、サイトを完全侵害できる脆弱性があります。

技術的な内容

RESTルート /wp-json/next_cart/v1/migration のpermission_callbackが常に許可され、nextcart_tokenが未生成の場合にハードコードされた既定値 __token__ が使われます。攻撃者がこの値を送ると移行用の特権ハンドラへ到達でき、攻撃者入力のSQLが $wpdb->query() / $wpdb->get_results() に渡されるため管理者作成を含む任意SQL実行が可能です。また攻撃者入力のパスが unlink() に渡される処理があり、任意ファイル削除も可能です。nextcart_tokenが未生成の状態は、WP-CLI・ネットワーク・プログラムによる有効化後に管理画面へ未訪問の環境などで発生します。CVSS 8.1 High。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。Patchstackは3.9.9を修正版として案内しています。

悪用状況

実攻撃は未確認

推奨対応

3.9.9以上へ直ちに更新してください。更新画面で3.9.9以上を取得できない場合は、修正版を入手できるまでプラグインを停止するか /wp-json/next_cart/v1/migration への外部アクセスを遮断してください。nextcart_token未生成環境を最優先で確認し、不審な管理者・新規ユーザー、データベース変更、重要ファイルの欠損、同RESTルートへのアクセス履歴を確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

情報確認日時：2026年9月10日 00:10

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。