OttoKit にログインなしで権限昇格できる脆弱性が発見されていた

OVERVIEW

WordPress とほかのサービスをつなぐ自動化プラグイン OttoKit で、OttoKit 1.1.40 以前に、ログインしていない人でも権限を上げられる脆弱性（CVE-2026-110372）が見つかりました。2026年10月16日に脆弱性データベースの Patchstack が公開し、深刻度の点数（CVSS）は10点満点の9.8です。Patchstack は、悪用が知られている脆弱性の印も付けています。

Patchstack と CVE の記録は修正バージョンを OttoKit 1.1.41 としていますが、開発元の変更履歴がこの報告への対処を書いているのは、10月15日の OttoKit 1.1.42 です。OttoKit は 1.1.41 で止めず、1.1.42 以上、現行の OttoKit 1.1.43 まで上げてください。

この記事では、OttoKit 1.1.40 以前で何が起きていたのかと、修正バージョンの表記がなぜ OttoKit 1.1.41 と 1.1.42 に分かれているのかを、開発元の変更履歴とコードの差分から書きます。悪用についてどこまで公表されているかと、更新したあとに見ておく場所は、そのあとで触れます。

OttoKitとは

OttoKit は、WordPress サイトとほかのアプリやサービスをつないで、「注文が入ったら顧客管理に登録する」「フォームが送られたらお礼のメールを送る」といった作業を自動で回すためのプラグインです。開発元は Brainstorm Force で、WordPress.org では2023年1月から配られ、有効インストールは9万以上あります。2025年の脆弱性の記録には、SureTriggers という以前の名前で載っています。

自動化の処理そのものは OttoKit のクラウドで動き、プラグインはサイトとクラウドの橋渡し役です。使うには OttoKit のアカウント（無料で作れます）が要り、プラグインの設定画面からサイトをアカウントに「接続」します。接続すると、サイトとクラウドがやり取りするための鍵がサイト側に保存されます。OttoKit 1.1.42 でコードが変わったのも、この接続の手続きでした。

OttoKit 1.1.40以前は、ログインしていない人でも権限を上げられる状態だった

Patchstack の記録では、OttoKit 1.1.40 以前のすべてのバージョンが対象です。種類は権限昇格で、狙うのに必要な権限の欄は「Unauthenticated（ログイン不要）」になっています。CVSS 9.8 の内訳は、ネット越しに、ログインも利用者の操作も要らずに狙えて、情報の漏れ・書き換え・停止のどれも影響が「高」という評価です。

見つけたのは Peter Tang さんで、Patchstack のバグ報奨金の仕組みを通じて10月11日に報告しています。どの権限まで上がるのか、どんな手順で狙われるのかは、Patchstack も開発元も公表していません。この記事でも、狙い方には触れません。

OttoKit では2025年にも、権限まわりの脆弱性が2件登録されています。4月の CVE-2025-3102（SureTriggers 1.0.78 以前）と、5月の CVE-2025-27007（SureTriggers 1.0.82 以前）です。今回の CVE-2026-110372 は別の番号で、2025年の修正バージョンに上げてあっても、OttoKit 1.1.40 以前のままなら今回の分は直っていません。

OttoKitの修正は、Patchstackが示す1.1.41ではなく、1.1.42に入っている

Patchstack と CVE の記録は、修正バージョンを OttoKit 1.1.41 としています。ところが、OttoKit 1.1.41 が WordPress.org に出たのは10月8日で、Peter Tang さんの報告より3日前です。

• 10月8日：OttoKit 1.1.41 を公開。変更履歴にセキュリティの記述はなし
• 10月11日：Peter Tang さんが Patchstack に報告
• 10月15日：OttoKit 1.1.42 を公開。変更履歴に、この報告への対処を記載
• 10月16日：Patchstack が脆弱性を公開。修正バージョンは OttoKit 1.1.41 と表記
• 10月29日：OttoKit 1.1.43 を公開（現行）

OttoKit 1.1.41 の変更履歴は、新しい連携やメール送信の機能を足した内容で、セキュリティには触れていません。OttoKit 1.1.42 には「Peter Tang と Patchstack が非公開で報告してくれたセキュリティ上の不具合に対処した。最新のバージョンを使ってほしい」と書かれています。OttoKit 1.1.40 と 1.1.41 のコードを比べても、接続や権限の扱いを変えた箇所はありませんでした。

この報告への修正が入っているのは、OttoKit 1.1.42 以上です。OttoKit 1.1.41 で止まっているサイトは、Patchstack の表記だけを見ると直っているように見えますが、もう一度更新が要ります。

OttoKit 1.1.42で変わったのは、接続が拒否されたときの鍵の扱いだった

開発元は、不具合の中身を説明していません。OttoKit 1.1.41 と 1.1.42 のコードを比べると、新しい連携の追加を除いて変わっていたのは、サイトを OttoKit のアカウントにつなぐ手続きの一か所だけでした。

接続の手続きが拒否されたとき、OttoKit 1.1.41 までは接続用の鍵を空にせず、代わりの値を保存していました。OttoKit 1.1.42 は、拒否されたときに鍵を消し、前のバージョンが残した値も鍵として受け付けません。以前に接続が拒否されたことのあるサイトでも、OttoKit 1.1.42 以上に上げれば、残っていた値は使われなくなります。

ただし、この変更が CVE-2026-110372 の修正そのものだと、開発元や Patchstack が明言しているわけではありません。報告者の名前を挙げた OttoKit 1.1.42 で、セキュリティに関わる変更がこの一か所だけだった、というところまでが確かめられた事実です。

悪用の印は付いているが、狙われた件数や時期は公表されていない

Patchstack のページには「Known to be exploited!（KEV）」と出ていて、CVE の記録にも、Patchstack が付けた「悪用が知られている脆弱性」の印があります。Patchstack は、この種類の脆弱性は多くのサイトを一度に狙う攻撃に使われる、とも書いています。

一方、同じ CVE の記録に米国の CISA が10月19日に付けた評価では、悪用は「none（確認なし）」です。どちらの記録にも、狙われたサイトの数や、いつから狙われているのかは書かれていません。

規模は分からないものの、ログインなしで狙えて、悪用の印まで付いた脆弱性です。OttoKit を入れているサイトは、規模がはっきりするのを待たずに更新するのがよい、と私たちは判断しています。

OttoKitを1.1.42以上にしたあと、ユーザーと接続を見直す

OttoKit 1.1.43 の必須条件は WordPress 5.4 以上と PHP 5.6 以上で、WordPress 7.1.4 まで動作が確かめられています。プラグイン画面で OttoKit が 1.1.42 以上かを見て、低ければ更新します。WordPress 本体を 7.1.4 に上げても、OttoKit のバージョンは替わりません。本体の更新については【脆弱性修正】WordPress 7.1.4がリリースされましたに書きました。

更新でふさがるのは、これから先の穴です。更新より前に誰かが権限を上げていた場合、その結果は OttoKit を更新しても消えません。上げたあとは、WordPress の「ユーザー」画面に覚えのない管理者や、権限が変わったユーザーがいないかを見てください。OttoKit の画面では、「Apps」に並ぶ接続と「Workflows」の自動化が、自分たちで作ったものだけかを確かめます。

OttoKit を入れたものの使っていないなら、停止して削除するのも一つの方法です。2025年の CVE-2025-3102 は、プラグインを有効にしたまま OttoKit のアカウントに接続していないサイトが対象でした。使っていなくても、有効にしてあるだけで対象になった例です。

参考にした一次情報

• Patchstack：WordPress OttoKit Plugin <= 1.1.40 – Privilege Escalation
• CVE-2026-110372 の記録（CISA の評価を含む）
• WordPress.org の OttoKit（現行 1.1.43、変更履歴）
• WordPress.org の OttoKit 配布記録（バージョンごとのタグ）
• CVE-2025-3102 の記録（2025年4月）

---