WooCommerce Wholesale Lead Captureプラグインに存在する重大なセキュリティ欠陥が、実際に悪用されていることが判明しました。この脆弱性を突かれると、リモートの攻撃者が悪意あるファイルをアップロードし、脆弱なWordPressサイトを完全に乗っ取る可能性があります。
CVE-2026-27540として追跡されているこの脆弱性は、WooCommerce Wholesale Lead Captureのバージョン2.0.3.1以前に影響します。
このプレミアムプラグインは推定6,000のウェブサイトで利用されており、店舗運営者が卸売登録フォームを構築する際に役立つほか、登録プロセスの一環としてファイルアップロード機能もサポートしています。
セキュリティ研究者は2026年2月20日にこの問題を公表しました。CVSS深刻度スコアは10点満点中9.8を記録しており、クリティカル(重大)に分類されています。
ベンダーはバージョン2.0.3.2でこの欠陥に対処しており、利用者には直ちにアップデートするよう強く推奨されています。Wordfenceによると、同社のファイアウォールはすでに10万件を超える悪用の試みをブロックしています。
報告によれば、攻撃者は数か月にわたってこの弱点を標的にしており、6月4日から6月17日にかけて、さらに7月1日と8月30日にも攻撃活動の高まりが観測されています。
この問題は、認証を必要としない任意ファイルアップロードの脆弱性です。つまり攻撃者は、悪用を試みるにあたってWordPressのアカウントや管理者権限を必要としません。
WooCommerce Wholesale Lead Captureには、wwlc_file_upload_handlerというAJAXアップロードハンドラーが含まれています。
このハンドラーは本来、卸売登録フォームを送信する訪問者から、承認済みのファイル形式のみを受け付けるよう設計されています。しかし、このプラグインは許可されるファイル種別のリストを、受信したリクエストに含まれるデータから読み取ってしまいます。
攻撃者はそのリクエストデータを制御できるため、許可される拡張子のリストを改ざんし、PHPファイルを含めることが可能です。さらにアップロード処理では標準のファイル種別検証チェックが無効化されるため、危険なサーバーサイドファイルが受け付けられてしまうリスクが高まります。
攻撃が成功すると、ブラウザ経由でアクセス可能な悪意あるスクリプトであるPHP製のウェブシェルをアップロードされる可能性があります。
こうしたバックドアが設置されると、攻撃者はサーバー上でコマンドを実行したり、不正な管理者アカウントを追加したり、サイトのデータを盗んだり、ページを改ざんしたり、追加のマルウェアをインストールしたり、WordPressサイト全体を乗っ取ったりする可能性があります。
観測された攻撃活動には、shell.phpという名前のファイルをアップロードしようとする試みが含まれていました。このファイル名は有用な警告サインではあるものの、攻撃者は任意のファイル名を選択できるため、サイト運営者はこの名前だけを頼りにすべきではありません。
Wordfenceは2026年2月25日にこの欠陥を自社の脆弱性データベースに追加しました。Wordfence Premium、Care、Responseの利用者は2月27日にファイアウォール保護を受け取りました。無料版のWordfenceユーザーには3月29日にルールが提供されています。
ファイアウォールによる保護は既知の攻撃の試みをブロックできますが、パッチ適用の代わりにはなりません。管理者はできるだけ早く、WooCommerce Wholesale Lead Captureをバージョン2.0.3.2以降にアップデートすべきです。
サイト運営者は、WordPressのアップロードディレクトリやその他のウェブからアクセス可能なフォルダに、予期しない、あるいは最近作成された.phpファイルがないかも確認すべきです。
ウェブサーバーのログについては、wwlc_file_upload_handlerというアクションを含む/wp-admin/admin-ajax.phpへのリクエストがないか確認する必要があります。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/woocommerce-flaw-enables-site-takeover/
