SureCart 管理者が乗っ取られる重大脆弱性発覚

OVERVIEW

WordPress でネット販売をするプラグイン SureCart の SureCart 4.9.5 以前に、ログインしていない人が別のユーザーとしてログインできる脆弱性が2件記録されました。2026年11月3日に公開された CVE-2026-120574 は、パスワードの代わりにメールで届くコードでログインする仕組みから、管理者を含むどのユーザーとしてもログインした状態になり得る、と書いています。

原因は、そのコードの入力回数に上限が無く、管理者もこの方法でログインできたことです。どちらの脆弱性も SureCart 4.9.6 以降では対象外で、2026年11月5日時点の現行は SureCart 4.12.1 です。

この記事では、SureCart のどの仕組みで何が起きていたのかと、なぜ管理者として入られるおそれがあったのかを、公開された脆弱性の記録から書きます。もう1件の CVE-2026-112241 は記録に機能の説明が無いため、分かっている範囲だけを並べました。どのバージョンで直ったのかは、開発元の変更履歴と WordPress.org の配布コードで確かめています。

SureCartとは

SureCart は、WordPress のサイトに商品ページ、カート、購入手続きの画面を足して、物販やダウンロード販売、定期購入（サブスクリプション）、寄付の受け付けをできるようにするプラグインです。WordPress.org では2022年から配られていて、有効インストールは8万以上です。

決済やサブスクリプションの処理は、サイトのサーバーではなく SureCart のクラウド側で行います。WordPress.org の説明は、SureCart を WooCommerce より軽い代わりのプラグインとして案内しています。お客さまはサイトにアカウントを持ち、購入履歴などを見る画面にログインします。今回問題になったのは、そのログインに使う「パスワードを使わず、メールで届くコードを入れてログインする」仕組みです。

SureCart 4.9.5以前には、ログインしていない人が別のユーザーとして入れる脆弱性が2件記録されている

SureCart 4.9.5 以前を対象にした脆弱性の記録は、10月22日の CVE-2026-112241 と、11月3日の CVE-2026-120574 の2件です。どちらも、ログインしていない人が、本来は入れないアカウントとして扱われる種類の脆弱性です。

CVE-2026-112241：WordPress のセキュリティ企業 Patchstack が記録。なりすましによる認証の回避。深刻度の点数（CVSS）は10点満点の9.8。修正は SureCart 4.9.6
CVE-2026-120574：同じくセキュリティ企業の Wordfence が記録。ログインコードからのアカウントの乗っ取り。CVSS は8.1。対象は SureCart 4.9.5 以前

CVE-2026-112241 の記録には、SureCart のどの機能の問題なのかが書かれていません。開発元への報告は Patchstack のバグ報奨金制度を通じて行われ、Patchstack はこの脆弱性を「悪用されることが予想される」と評価しています。CVE-2026-120574 と同じ問題なのか別の問題なのかは、公開された記録からは分かりません。

CVE-2026-120574 は、hamachi_jp さんが見つけ、開発元には10月9日に知らされていました。記録の説明では、ログインしていない人が、管理者を含むどのユーザーとしてもログインした状態になり、管理者のアカウントが丸ごと乗っ取られるおそれがあります。点数が9.8ではなく8.1なのは、攻撃が成り立つ条件がやや厳しいと評価されているためです。

実際に狙われたかどうかについては、米国の CISA が付けた評価で、2件とも悪用は「none（確認なし）」です。同じ評価で、CVE-2026-112241 は「自動化しやすい」、CVE-2026-120574 は「自動化しにくい」とされています。どちらも、成功したときの影響は「total（サイトを丸ごと操作され得る）」です。

原因は、メールで届くログインコードに、入力回数の上限も管理者の除外も無かったこと

CVE-2026-120574 の記録によると、SureCart 4.9.5 以前のログインコードの仕組みには、本人以外が使うのを止める歯止めが足りませんでした。この仕組みでは、ログインしたい人がメールアドレスかユーザー名を入れると、そのユーザーのメールにコードが届き、そのコードを入れるとログインできます。

記録が挙げている問題は三つあります。まず、コードを送る処理と確かめる処理は、ログインしていない人でも呼び出せ、指定されたユーザーが誰であっても同じように扱っていました。次に、コードの入力回数には上限が無く、同じアカウントでコードを間違え続けても締め出されません。そして、管理者のような強い権限を持つアカウントも、このコードでログインできました。

開発元のコードの説明では、このコードでのログインはお客さま向け（ストア側）の入口です。ところが SureCart 4.9.5 以前は、コードでログインしようとしている相手がお客さまなのか、サイトの管理者なのかを区別していませんでした。お客さま向けの入口から、管理者のアカウントにも入れる作りになっていたことが、乗っ取りにつながりました。

修正はSureCart 4.9.6に入り、そのあとのバージョンでもログインコードの手直しが続いている

SureCart 4.9.6 は、2026年10月16日に出たバージョンです。開発元の変更履歴は「パスワード不要のログインコードの流れの安全を強めた」と書き、報告元として Wordfence に謝辞を出しています。CVE-2026-112241 の記録も、修正は SureCart 4.9.6 だとしています。

WordPress.org で配られている SureCart 4.9.5 と SureCart 4.9.6 のコードを比べると、SureCart 4.9.6 ではログインコードの入力に1つのメールアドレスあたり5回までの上限が付き、超えると15分間締め出されるようになっています。投稿の編集やサイトの設定、ストアの設定ができる権限を持つアカウントは、コードではログインできなくなりました。記録が挙げた「回数の上限が無い」「管理者も入れる」の二つに、SureCart 4.9.6 で手が入ったことになります。

そのあとも、開発元は同じログインの流れを続けて直しています。変更履歴に書かれている内容は次のとおりです。

SureCart 4.10.0（10月20日）：ログインコードの流れの安全を強めた。報告元は Patchstack
SureCart 4.11.0（10月28日）：ログインコードのメールの送信回数に制限を付け、ユーザーのメールアドレスが分からないようにした
SureCart 4.12.0（11月3日）：ログインコードの流れの安全をさらに強めた
SureCart 4.12.1（11月4日）：現行バージョン。セキュリティの記載は無い

記録の上では、SureCart 4.9.6 に上げれば2件の脆弱性の対象からは外れます。ただし、SureCart 4.11.0 のメールの送信制限や SureCart 4.12.0 の手直しも同じ入口に向けたものなので、SureCart 4.9.6 や SureCart 4.11.0 で止めず、現行の SureCart 4.12.1 まで上げるのがよいと私たちは判断しています。

更新したあとは、覚えのない管理者が増えていないかを確かめる

SureCart 4.12.1 の必須条件は WordPress 6.8 以上と PHP 7.4 以上で、WordPress 7.1.4 まで動作が確かめられています。WordPress 本体が 6.8 より古いと現行バージョンは入らないので、先に本体を上げられるかを確かめます。本体を上げても SureCart のバージョンは替わらないので、プラグインの更新は別に必要です。本体の更新については【脆弱性修正】WordPress 7.1.4がリリースされましたに書きました。

更新でふさがるのは、これから先の入口です。更新より前に誰かが管理者として入っていた場合、その間に足されたユーザーやプラグインは、SureCart を更新しても消えません。WordPress の「ユーザー」画面で覚えのない管理者が増えていないか、入れた覚えのないプラグインがないかを見ます。

更新のあとは、お客さまのログインが止まっていないかも確かめておきます。テスト用のお客さまアカウントで、メールに届いたコードからログインできれば、ふだんの買い物の流れは保たれています。

参考にした一次情報

SureCart のように、ひと月のうちに「ログインコードの安全を強めた」という更新が何度も続くと、どのバージョンで何が直ったのかを変更履歴だけでは追いきれません。お店のサイトでは、更新のあとにお客さまがログインや購入をできるかの確認も欠かせません。

サイト番では、プラグインやテーマの定期更新、バックアップ、表示の確認、障害のときの復旧を、担当者が内容を見て行います。

WordPress更新などの保守管理に手が回らない場合は、是非サイト番にお任せください。