脆弱性・CVE速報深刻度: 緊急

WordPress「PDF Invoice for WooCommerce」7.1.1 以前に認証不要の PHP オブジェクトインジェクション（CVE-2026-109220）: CVSS 9.8（Wordfence）、修正版は未確認

World Security 編集部2026年11月1日公開

目次（4）

要点

PDF Invoice for WooCommerce + Drag and Drop Template Builder 7.1.1 までの全版：customer_note 経由の PHP オブジェクトインジェクション、認証不要でコード実行が可能と説明されている。再現は当サイトでは未実施
CVSS v3.1 は 9.8（Wordfence の値）。NVD の状態は Received。EPSS は 0.52%（パーセンタイル 44.2%）、KEV なし、実際の悪用の報告は未確認
WooCommerce の公開 Store API（/wc/store/v1/checkout）のゲスト注文から、既定の設定でも到達できるとの記載（CNA の説明）
参照先に 7.2.0 の配布ファイルがあるが、修正版かは未確認。更新履歴で確認し、確認できるまでは一時的な無効化も検討する
コード実行に至る具体的条件、ほかの経路、悪用の有無は未確認

CVE-2026-109220

NVD は 2026-10-31（07:16 UTC）に、WordPress 向けプラグイン「PDF Invoice for WooCommerce + Drag and Drop Template Builder」の CVE-2026-109220 を登録しました。説明によれば、7.1.1 までのすべての版で、チェックアウトの customer_note 欄を経由した PHP オブジェクトインジェクション（CWE-502）があり、認証なしの攻撃者がサーバー上でコードを実行できるとされています。登録元（CNA）は Wordfence で、NVD の状態は登録直後の「Received」（NVD 自身の分析は未実施）です。

何が起きるか（CNA の説明）

customer_note の内容は請求書の HTML にそのまま埋め込まれます。その後、HTML パーサー（simplehtmldom）の処理で実際のタグに戻され、PDF 生成ライブラリ（mPDF）が元のバイト列に組み直し、検証なしで unserialize() に渡される、という流れです。
認証は不要です。既定の設定でも、WooCommerce の公開 Store API（POST /wc/store/v1/checkout）から、銀行振込または小切手の支払い方法でゲスト注文を出すと、注文が「保留中（on-hold）」になり、プラグインの請求書生成の処理が動いて、問題の経路に到達するとされています。
CVSS v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、Wordfence（CNA）が付与した値です。NVD 自身の評価はまだありません。
参照先に、7.1.1 のソースコード上の該当箇所（5 か所）と、7.2.0 の配布ファイルが載っています。当サイトでは中身を開いていません。
実際の攻撃での悪用の報告は確認できていません。CISA の KEV にも載っていません（確認時点の版）。

影響を受ける条件と評価

項目	内容
対象	PDF Invoice for WooCommerce + Drag and Drop Template Builder 7.1.1 までのすべての版（CNA の記載）
前提	WooCommerce と本プラグインが有効で、ゲスト注文が可能なこと。説明では、銀行振込または小切手の支払い方法を使う経路が例示されている（ほかの経路は未確認）
CVSS	v3.1 は 9.8（Critical）。Wordfence（CNA）の値
状態	NVD の状態は「Received」（登録直後。NVD 自身の分析は未実施）
EPSS	0.52%（パーセンタイル 44.2%、2026-10-31 時点、FIRST）
修正	参照先に 7.2.0 の配布ファイルが載っているが、修正版かどうかの明記は NVD に見当たらない

対応として考えられること（本記事の推定）

サイトに本プラグインが入っているか、版が 7.1.1 以下かを、管理画面の「プラグイン」で確認します。
プラグインの更新が出ていれば適用します。7.2.0 が修正版かどうかは、本記事では確認できていません。更新履歴や配布元の案内で確かめてください。
修正を確認できるまでは、プラグインの一時的な無効化を検討します。請求書の自動生成が止まる影響と比べて判断します。
銀行振込・小切手の支払い方法を使っていない場合の到達可否は未確認です。支払い方法の停止だけで防げるかも、確認できていません。
アクセスログで、/wc/store/v1/checkout への不審な POST や、customer_note に長い不自然な文字列を含む注文がないか確認します。具体的な攻撃の指標は公開されておらず、未確認です。

未確認の点

7.2.0 が修正版か、修正の中身は確認していません。
攻撃の再現はしていません。コード実行に至る具体的な条件（利用できる PHP クラスなど）は、説明からは読み取れず、未確認です。
悪用の報告は確認できていません。KEV にも載っていません。
CVSS は Wordfence の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、認証不要・ネットワーク経由でコード実行とされる点から critical にしました。
当サイトでは、挙動を再現していません。記載は NVD の記載に基づきます。
日付は NVD の登録（2026-10-31 07:16 UTC）に基づきます。