Security For WooCommerce 1.0.10〜1.0.16（CVE-2026-100109）: ログインなしで管理者アカウントを作れ、サイトを乗っ取れる（CVSS 9.8）。修正版は未確認

WordPress プラグイン「Security For WooCommerce」（スラッグ ultimate-security-for-woocommerce）の 1.0.10〜1.0.16 に、認証なしで管理者アカウントを作れる欠陥（CVE-2026-100109）が登録されました。NVD への登録は 2026-11-05（状態は Received）、評価元は WPScan（CNA）で、NVD 自身の評価はまだありません。

何が起きるか

• NVD の説明によると、このプラグインは、ログインしていない訪問者でも呼び出せる処理でユーザーを作るとき、権限の確認（capability check）をしていません。
• そのうえ、呼び出す側が新しいアカウントのロール（役割）を選べます。Administrator を指定すれば、管理者アカウントができあがります。
• WPScan の見出しは「usfw_create_temporary_user による認証なしの権限昇格」です。名前から、一時的なユーザーを作る処理が原因と読めますが、呼び出しの具体的な形は確認できていません（推定）。
• 管理者を作れるため、サイトの乗っ取りにつながります。管理者はプラグインやテーマの追加・編集ができ、通常は PHP コードを動かせるためです（WordPress の一般的な仕組みからの推定）。

数値と severity

• CVSS v3.0: 9.8（CRITICAL、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。評価元は WPScan です。
• 認証が不要（PR:N）で CVSS も 9 以上のため、severity は critical とします。
• CISA の KEV には載っていません（確認時点の公開リスト）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。
• WPScan には 11/3 に登録されています。概念実証（PoC）は「2027-02-01 に公開予定」と表示され、現時点では見られません。

修正の状況

• WordPress.org のプラグインページには「2026-10-13 に閉鎖された。この閉鎖は一時的で、全体の確認が終わるまで」と表示され、ダウンロードできません。
• ページに出ている版は 1.0.15 で、NVD の対象範囲（〜1.0.16）と食い違っています。理由は確認できていません。
• 修正版が出たかどうかは、NVD にも WPScan のページにも記載がなく、確認できていません。

対策として考えられること

1. このプラグインを使っている場合は、すぐに無効化し、削除することを検討します。修正版の有無が分からないため、残す理由がなければ外すのが安全です（推定）。
2. 管理者アカウントの一覧を見て、心当たりのないアカウント、特に最近作られたものがないかを確認します。見つかった場合は、パスワードの再設定、不審なプラグインやテーマの有無の点検、サイトの調査をします（推定）。
3. 一時ユーザーを作る処理が外から呼べないよう、WAF（Web アプリケーションファイアウォール）などで制限することも考えられますが、呼び出しの形が分からないため、有効かどうかは未確認です。

未確認の点

• 修正版の有無と、プラグイン閉鎖（10/13）との関係。
• 呼び出しの具体的な形、usfw_create_temporary_user の中身。
• 実際の悪用の有無、公開済みの PoC の有無、EPSS。
• 利用サイト数（WordPress.org の表示は N/A）。
• NVD の最終評価。