WORDPRESS SECURITY

WCFM MembershipにSubscriber権限からの権限昇格脆弱性（CVE-2026-84756）

High

WordPressプラグイン「WCFM Membership – WooCommerce Memberships for Multivendor Marketplace」の脆弱性情報（CVE-2026-84756）。影響バージョンは2.11.11以下。修正版 2.12.0 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月7日

対象製品: WCFM Membership – WooCommerce Memberships for Multivendor Marketplace（プラグイン）
CVE: CVE-2026-84756
CVSS / 深刻度: 7.1 / High
影響バージョン: 2.11.11以下
修正版: 2.12.0
脆弱性種別: Subscriber+ 権限昇格／不適切な権限割り当て

脆弱性の概要

WCFM Membership 2.11.11以下には、Subscriber権限のユーザーが本来許可されない上位権限を取得できるPrivilege Escalation脆弱性があります。高い完全性影響が評価されており、保護機能やサイト設定の不正変更につながる可能性があります。

技術的な内容

CVE-2026-84756はCWE-266、CVSS 7.1 Highです。ネットワーク経由・低複雑度で、低権限アカウントが必要です。WordPress.org公式の2.12.0変更履歴では、legacy Stripe IPN handlersを通じたUser Role OverwriteによるLimited Privilege Escalationの修正と当該エンドポイントの廃止が明記されています。現時点でCISA KEV掲載や実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

WCFM Membershipを2.12.0以上へ更新してください。Subscriber・Vendorを含むユーザーのロール変更、新規の高権限アカウント、Membership設定、Stripe関連の旧IPNリクエスト、既存セッションを確認してください。

情報源

情報確認日時：2026年9月7日 13:06

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。