---
title: "WordPress「PDF Invoice for WooCommerce」7.1.1 以前に認証不要の PHP オブジェクトインジェクション（CVE-2026-109220）: CVSS 9.8（Wordfence）、修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/pdf-invoice-for-woocommerce-php-object-injection-customer-note-unauthenticated-up-to-7-1-1-cve-2026-109220
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 緊急
cve: CVE-2026-109220
---

# WordPress「PDF Invoice for WooCommerce」7.1.1 以前に認証不要の PHP オブジェクトインジェクション（CVE-2026-109220）: CVSS 9.8（Wordfence）、修正版は未確認

> **TL;DR:** WordPress 向けプラグイン PDF Invoice for WooCommerce + Drag and Drop Template Builder の 7.1.1 までの全版で、チェックアウトの customer_note 経由の PHP オブジェクトインジェクションにより、認証なしでサーバー上のコード実行が可能と説明されている（CVE-2026-109220、CWE-502）。CVSS v3.1 は 9.8（Wordfence が付与、NVD 自身の評価は未実施）。EPSS は 0.52%、KEV なし、悪用の報告は未確認。修正版は未確認（参照先に 7.2.0 の配布ファイルあり）。

**要点**
- PDF Invoice for WooCommerce + Drag and Drop Template Builder 7.1.1 までの全版：customer_note 経由の PHP オブジェクトインジェクション、認証不要でコード実行が可能と説明されている。再現は当サイトでは未実施
- CVSS v3.1 は 9.8（Wordfence の値）。NVD の状態は Received。EPSS は 0.52%（パーセンタイル 44.2%）、KEV なし、実際の悪用の報告は未確認
- WooCommerce の公開 Store API（/wc/store/v1/checkout）のゲスト注文から、既定の設定でも到達できるとの記載（CNA の説明）
- 参照先に 7.2.0 の配布ファイルがあるが、修正版かは未確認。更新履歴で確認し、確認できるまでは一時的な無効化も検討する
- コード実行に至る具体的条件、ほかの経路、悪用の有無は未確認

NVD は 2026-10-31（07:16 UTC）に、WordPress 向けプラグイン「PDF Invoice for WooCommerce + Drag and Drop Template Builder」の CVE-2026-109220 を登録しました。説明によれば、**7.1.1 までのすべての版**で、チェックアウトの `customer_note` 欄を経由した PHP オブジェクトインジェクション（CWE-502）があり、**認証なしの攻撃者がサーバー上でコードを実行できる**とされています。登録元（CNA）は Wordfence で、NVD の状態は登録直後の「Received」（NVD 自身の分析は未実施）です。

## 何が起きるか（CNA の説明）

- `customer_note` の内容は請求書の HTML にそのまま埋め込まれます。その後、HTML パーサー（simplehtmldom）の処理で実際のタグに戻され、PDF 生成ライブラリ（mPDF）が元のバイト列に組み直し、検証なしで `unserialize()` に渡される、という流れです。
- 認証は不要です。既定の設定でも、WooCommerce の公開 Store API（`POST /wc/store/v1/checkout`）から、銀行振込または小切手の支払い方法でゲスト注文を出すと、注文が「保留中（on-hold）」になり、プラグインの請求書生成の処理が動いて、問題の経路に到達するとされています。
- CVSS v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、**Wordfence（CNA）が付与した値**です。NVD 自身の評価はまだありません。
- 参照先に、7.1.1 のソースコード上の該当箇所（5 か所）と、7.2.0 の配布ファイルが載っています。当サイトでは中身を開いていません。
- 実際の攻撃での悪用の報告は確認できていません。CISA の KEV にも載っていません（確認時点の版）。

## 影響を受ける条件と評価

| 項目 | 内容 |
|---|---|
| 対象 | PDF Invoice for WooCommerce + Drag and Drop Template Builder 7.1.1 までのすべての版（CNA の記載） |
| 前提 | WooCommerce と本プラグインが有効で、ゲスト注文が可能なこと。説明では、銀行振込または小切手の支払い方法を使う経路が例示されている（ほかの経路は未確認） |
| CVSS | v3.1 は 9.8（Critical）。Wordfence（CNA）の値 |
| 状態 | NVD の状態は「Received」（登録直後。NVD 自身の分析は未実施） |
| EPSS | 0.52%（パーセンタイル 44.2%、2026-10-31 時点、FIRST） |
| 修正 | 参照先に 7.2.0 の配布ファイルが載っているが、修正版かどうかの明記は NVD に見当たらない |

## 対応として考えられること（本記事の推定）

1. サイトに本プラグインが入っているか、版が 7.1.1 以下かを、管理画面の「プラグイン」で確認します。
2. プラグインの更新が出ていれば適用します。7.2.0 が修正版かどうかは、本記事では確認できていません。更新履歴や配布元の案内で確かめてください。
3. 修正を確認できるまでは、プラグインの一時的な無効化を検討します。請求書の自動生成が止まる影響と比べて判断します。
4. 銀行振込・小切手の支払い方法を使っていない場合の到達可否は未確認です。支払い方法の停止だけで防げるかも、確認できていません。
5. アクセスログで、`/wc/store/v1/checkout` への不審な POST や、`customer_note` に長い不自然な文字列を含む注文がないか確認します。具体的な攻撃の指標は公開されておらず、未確認です。

## 未確認の点

- 7.2.0 が修正版か、修正の中身は確認していません。
- 攻撃の再現はしていません。コード実行に至る具体的な条件（利用できる PHP クラスなど）は、説明からは読み取れず、未確認です。
- 悪用の報告は確認できていません。KEV にも載っていません。
- CVSS は Wordfence の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、認証不要・ネットワーク経由でコード実行とされる点から critical にしました。
- 当サイトでは、挙動を再現していません。記載は NVD の記載に基づきます。
- 日付は NVD の登録（2026-10-31 07:16 UTC）に基づきます。


## 出典
- [NVD CVE-2026-109220](https://nvd.nist.gov/vuln/detail/CVE-2026-109220) — NIST NVD
- [Wordfence Threat Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/id/1bc3529c-6161-4b89-8a35-c3a9b7b8c308) — Wordfence
- [FIRST EPSS CVE-2026-109220](https://api.first.org/data/v1/epss?cve=CVE-2026-109220) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/pdf-invoice-for-woocommerce-php-object-injection-customer-note-unauthenticated-up-to-7-1-1-cve-2026-109220