---
title: "WordPress 用 payever Checkout（WooCommerce Gateway）で認証なしにファイルを書き込まれリモートコード実行の恐れ（CVE-2026-93754・4.8.0 以前・4.9.0 で修正と記載）"
url: https://n-t-p.io/worldsecurity/articles/payever-woocommerce-gateway-cve-2026-93754-unauth-file-upload-rce
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-93754
---

# WordPress 用 payever Checkout（WooCommerce Gateway）で認証なしにファイルを書き込まれリモートコード実行の恐れ（CVE-2026-93754・4.8.0 以前・4.9.0 で修正と記載）

> **TL;DR:** WordPress 用 payever Checkout（WooCommerce Gateway）4.8.0 以前で、認証のない 3 つのコールバックと、種類を確かめる前のファイル書き込みにより、認証なしで PHP ファイルを置かれリモートコード実行に至る恐れ（CVE-2026-93754・CVSS v3.1 9.8）。4.9.0 でセキュリティ修正の記載があるが、この CVE の修正かは未確認。

**要点**
- NVD は 2026-11-07、payever Checkout – Composable Payment Gateway（WooCommerce Gateway）4.8.0 以前の脆弱性 CVE-2026-93754 を登録（登録元は Wordfence）。認証・権限確認・nonce のない 3 つのコールバックが入口。
- 画像取り込みが、種類の検証より前に、攻撃者が決めたファイル名で公開のアップロード先へ書き込む（CWE-434）。認証なしで PHP ファイルを置かれ、リモートコード実行に至る恐れ。
- CVSS v3.1 9.8（AV:N/PR:N/UI:N）。認証不要で 9.0 以上のため severity 案は critical。NVD 自身の評価は未実施（Deferred）、EPSS は未算出、CISA KEV 掲載なし。
- WordPress.org の 4.9.0（2026-10-23）の更新履歴に、管理操作の権限・nonce 必須化や画像取り込みの検証などのセキュリティ修正の記載。この CVE の修正かは未確認。使わないなら無効化、使うなら 4.9.0 以降へ。
- 4.8.1・4.8.2 が対象か、悪用の有無、攻撃が成立する具体的条件は未確認。本稿は公開情報の読み取りで、再現はしていない。

WordPress 用の決済プラグイン **payever Checkout – Composable Payment Gateway**（WooCommerce Gateway）に、ログインなしで任意のファイルをサーバーに書き込まれ、そのままリモートコード実行に至る恐れのある脆弱性（**CVE-2026-93754**）が登録されました。評価は CVSS v3.1 で **9.8**（CRITICAL）です。NVD の記述では **4.8.0 以前**が対象で、プラグインの更新履歴では **4.9.0** で「セキュリティ修正」が入っています。ただし 4.9.0 がこの CVE の修正かどうかは、公式の勧告で確認できていません（**未確認**）。

## 内容
NVD（登録元は Wordfence）の記述によると、問題は次のとおりです。

- WooCommerce の API コールバック 3 つ（`payever_set_sandbox_api_keys`・`payever_toggle_subscription`・`payever_synchronization_incoming`）に、認証・権限確認・nonce（正規の操作かを確かめる使い捨ての値）がありません。
- 画像取り込みの処理（`upload_image()`）が、外部から取得したファイルを、種類を確かめる**前**に、攻撃者が決められるファイル名で公開のアップロード先へ書き込みます（CWE-434）。
- そのため、認証のない攻撃者が実行可能な PHP ファイルを置き、リモートコード実行に至る恐れがあります。

NVD の注記では、連鎖全体のうち「トークンの回復」の段階は、プラグインから payever のサービスへの `validateToken()` 呼び出しに依存します。一方、固定の資格情報による識別情報の上書き（CWE-862・CWE-798）は、単独でも成立するとされています。攻撃の手順や、実際にどの条件で成立するかは公表資料に詳しく書かれておらず、本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

## 評価
| 指標 | 値 |
|---|---|
| CVSS v3.1（NVD 上は Primary・登録元 Wordfence） | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` |
| CWE | CWE-434（制限のない危険な種類のファイルのアップロード） |
| NVD 登録日 | 2026-11-07（状態は「Deferred」で、NVD 自身の評価は未実施） |
| EPSS（FIRST・11/7 時点） | 値なし（未算出） |
| CISA KEV | 掲載なし（11/7 確認） |

認証が要らず CVSS 9.0 以上のため、当サイトの基準では **critical** を案とします。

## 影響を受ける版と修正
- 影響: NVD の記述は「4.8.0 までのさまざまな版」です。WordPress.org の公開版には、4.8.0 のあとに 4.8.1・4.8.2 があります。これらが対象かどうかは公表資料に書かれておらず、**未確認**です。
- 修正と思われる版: **4.9.0**（WordPress.org に 2026-10-23 公開。更新履歴の記載は「管理操作にショップ管理者の権限と nonce を必須にした」「商品画像の取り込みは検証済みの画像だけにした」「ログの出力とトークンを使う入口を強化した」）。この記載は、NVD の記述と内容が合っています。ただし CVE 番号は更新履歴に書かれておらず、この版で完全に直るとは言い切れません。

## 利用者が考えられること
1. WordPress の管理画面で、payever Checkout プラグインを使っているか、版を確認します。
2. 4.9.0 以降へ更新します。使っていないなら無効化・削除します。
3. すぐ更新できないときは、プラグインを一時的に無効化します。
4. アップロード先（`wp-content/uploads`）に、見覚えのない `.php` などの実行可能なファイルがないかを確認します。見つかったら、サイトが侵害された可能性を疑い、バックアップからの復旧や認証情報の変更を検討します。
5. 公開から日が浅いため、悪用の報告が出ていないか、payever や Wordfence の続報を確認します。

## 未確認の点
- 4.8.1・4.8.2 が影響を受けるか、4.9.0 がこの CVE を完全に修正しているか（提供元の勧告・修正の差分は本稿では確認していません）。
- 攻撃が成立する具体的な条件と、悪用の有無（CISA KEV に掲載なし。公開された攻撃コードの有無も未確認）。
- プラグインの利用規模、NVD 自身の評価。


## 出典
- [NVD CVE-2026-93754](https://nvd.nist.gov/vuln/detail/CVE-2026-93754) — NIST NVD
- [Wordfence Threat Intelligence（CVE-2026-93754）](https://www.wordfence.com/threat-intel/vulnerabilities/id/03412063-d73a-4c5c-8dc6-3e76a5d975a5) — Wordfence
- [payever Checkout 更新履歴（changelog.txt・4.9.0）](https://plugins.svn.wordpress.org/payever-woocommerce-gateway/trunk/changelog.txt) — WordPress.org Plugin Directory
- [payever Checkout – Composable Payment Gateway](https://wordpress.org/plugins/payever-woocommerce-gateway/) — WordPress.org Plugin Directory
- [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/payever-woocommerce-gateway-cve-2026-93754-unauth-file-upload-rce