WordPress 用 payever Checkout（WooCommerce Gateway）で認証なしにファイルを書き込まれリモートコード実行の恐れ（CVE-2026-93754・4.8.0 以前・4.9.0 で修正と記載）

WordPress 用の決済プラグイン payever Checkout – Composable Payment Gateway（WooCommerce Gateway）に、ログインなしで任意のファイルをサーバーに書き込まれ、そのままリモートコード実行に至る恐れのある脆弱性（CVE-2026-93754）が登録されました。評価は CVSS v3.1 で 9.8（CRITICAL）です。NVD の記述では 4.8.0 以前が対象で、プラグインの更新履歴では 4.9.0 で「セキュリティ修正」が入っています。ただし 4.9.0 がこの CVE の修正かどうかは、公式の勧告で確認できていません（未確認）。

内容

NVD（登録元は Wordfence）の記述によると、問題は次のとおりです。

• WooCommerce の API コールバック 3 つ（payever_set_sandbox_api_keys・payever_toggle_subscription・payever_synchronization_incoming）に、認証・権限確認・nonce（正規の操作かを確かめる使い捨ての値）がありません。
• 画像取り込みの処理（upload_image()）が、外部から取得したファイルを、種類を確かめる前に、攻撃者が決められるファイル名で公開のアップロード先へ書き込みます（CWE-434）。
• そのため、認証のない攻撃者が実行可能な PHP ファイルを置き、リモートコード実行に至る恐れがあります。

NVD の注記では、連鎖全体のうち「トークンの回復」の段階は、プラグインから payever のサービスへの validateToken() 呼び出しに依存します。一方、固定の資格情報による識別情報の上書き（CWE-862・CWE-798）は、単独でも成立するとされています。攻撃の手順や、実際にどの条件で成立するかは公表資料に詳しく書かれておらず、本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

評価

指標	値
CVSS v3.1（NVD 上は Primary・登録元 Wordfence）	9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-434（制限のない危険な種類のファイルのアップロード）
NVD 登録日	2026-11-07（状態は「Deferred」で、NVD 自身の評価は未実施）
EPSS（FIRST・11/7 時点）	値なし（未算出）
CISA KEV	掲載なし（11/7 確認）

認証が要らず CVSS 9.0 以上のため、当サイトの基準では critical を案とします。

影響を受ける版と修正

• 影響: NVD の記述は「4.8.0 までのさまざまな版」です。WordPress.org の公開版には、4.8.0 のあとに 4.8.1・4.8.2 があります。これらが対象かどうかは公表資料に書かれておらず、未確認です。
• 修正と思われる版: 4.9.0（WordPress.org に 2026-10-23 公開。更新履歴の記載は「管理操作にショップ管理者の権限と nonce を必須にした」「商品画像の取り込みは検証済みの画像だけにした」「ログの出力とトークンを使う入口を強化した」）。この記載は、NVD の記述と内容が合っています。ただし CVE 番号は更新履歴に書かれておらず、この版で完全に直るとは言い切れません。

利用者が考えられること

1. WordPress の管理画面で、payever Checkout プラグインを使っているか、版を確認します。
2. 4.9.0 以降へ更新します。使っていないなら無効化・削除します。
3. すぐ更新できないときは、プラグインを一時的に無効化します。
4. アップロード先（wp-content/uploads）に、見覚えのない .php などの実行可能なファイルがないかを確認します。見つかったら、サイトが侵害された可能性を疑い、バックアップからの復旧や認証情報の変更を検討します。
5. 公開から日が浅いため、悪用の報告が出ていないか、payever や Wordfence の続報を確認します。

未確認の点

• 4.8.1・4.8.2 が影響を受けるか、4.9.0 がこの CVE を完全に修正しているか（提供元の勧告・修正の差分は本稿では確認していません）。
• 攻撃が成立する具体的な条件と、悪用の有無（CISA KEV に掲載なし。公開された攻撃コードの有無も未確認）。
• プラグインの利用規模、NVD 自身の評価。