---
title: "Security For WooCommerce 1.0.10〜1.0.16（CVE-2026-100109）: ログインなしで管理者アカウントを作れ、サイトを乗っ取れる（CVSS 9.8）。修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/security-for-woocommerce-unauthenticated-admin-creation-cve-2026-100109
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-100109
---

# Security For WooCommerce 1.0.10〜1.0.16（CVE-2026-100109）: ログインなしで管理者アカウントを作れ、サイトを乗っ取れる（CVSS 9.8）。修正版は未確認

> **TL;DR:** Security For WooCommerce 1.0.10〜1.0.16 で、権限確認のない処理を通じ、ログインなしの訪問者がロールを選んで管理者アカウントを作れる（CVE-2026-100109、CVSS 9.8）。プラグインは 10/13 から WordPress.org で一時閉鎖中。修正版は未確認。

**要点**
- 権限確認のない処理（WPScan の見出しでは usfw_create_temporary_user）が、未ログインの訪問者からの呼び出しでユーザーを作り、ロールも呼び出し側が選べる。管理者アカウントを作ればサイトの乗っ取りにつながる。
- 認証不要（PR:N）で CVSS 9.8（WPScan 評価）のため critical。KEV 掲載なし、EPSS は未算出。PoC は 2027-02-01 公開予定と表示されている。
- WordPress.org では 10/13 から一時閉鎖でダウンロード不可。修正版の有無は未確認。使っている場合は無効化・削除を検討し、見覚えのない管理者アカウントを点検する（推定）。
- 呼び出しの具体的な形・悪用の有無・NVD の最終評価は未確認。

WordPress プラグイン「Security For WooCommerce」（スラッグ ultimate-security-for-woocommerce）の 1.0.10〜1.0.16 に、認証なしで管理者アカウントを作れる欠陥（CVE-2026-100109）が登録されました。NVD への登録は 2026-11-05（状態は Received）、評価元は WPScan（CNA）で、NVD 自身の評価はまだありません。

## 何が起きるか
- NVD の説明によると、このプラグインは、ログインしていない訪問者でも呼び出せる処理でユーザーを作るとき、権限の確認（capability check）をしていません。
- そのうえ、呼び出す側が新しいアカウントのロール（役割）を選べます。Administrator を指定すれば、管理者アカウントができあがります。
- WPScan の見出しは「usfw_create_temporary_user による認証なしの権限昇格」です。名前から、一時的なユーザーを作る処理が原因と読めますが、呼び出しの具体的な形は確認できていません（推定）。
- 管理者を作れるため、サイトの乗っ取りにつながります。管理者はプラグインやテーマの追加・編集ができ、通常は PHP コードを動かせるためです（WordPress の一般的な仕組みからの推定）。

## 数値と severity
- CVSS v3.0: 9.8（CRITICAL、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。評価元は WPScan です。
- 認証が不要（PR:N）で CVSS も 9 以上のため、severity は critical とします。
- CISA の KEV には載っていません（確認時点の公開リスト）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。
- WPScan には 11/3 に登録されています。概念実証（PoC）は「2027-02-01 に公開予定」と表示され、現時点では見られません。

## 修正の状況
- WordPress.org のプラグインページには「2026-10-13 に閉鎖された。この閉鎖は一時的で、全体の確認が終わるまで」と表示され、ダウンロードできません。
- ページに出ている版は 1.0.15 で、NVD の対象範囲（〜1.0.16）と食い違っています。理由は確認できていません。
- 修正版が出たかどうかは、NVD にも WPScan のページにも記載がなく、確認できていません。

## 対策として考えられること
1. このプラグインを使っている場合は、すぐに無効化し、削除することを検討します。修正版の有無が分からないため、残す理由がなければ外すのが安全です（推定）。
2. 管理者アカウントの一覧を見て、心当たりのないアカウント、特に最近作られたものがないかを確認します。見つかった場合は、パスワードの再設定、不審なプラグインやテーマの有無の点検、サイトの調査をします（推定）。
3. 一時ユーザーを作る処理が外から呼べないよう、WAF（Web アプリケーションファイアウォール）などで制限することも考えられますが、呼び出しの形が分からないため、有効かどうかは未確認です。

## 未確認の点
- 修正版の有無と、プラグイン閉鎖（10/13）との関係。
- 呼び出しの具体的な形、`usfw_create_temporary_user` の中身。
- 実際の悪用の有無、公開済みの PoC の有無、EPSS。
- 利用サイト数（WordPress.org の表示は N/A）。
- NVD の最終評価。


## 出典
- [NVD CVE-2026-100109](https://nvd.nist.gov/vuln/detail/CVE-2026-100109) — NIST NVD
- [WPScan 脆弱性情報 Security For WooCommerce 1.0.10 - 1.0.16](https://wpscan.com/vulnerability/b4d26eb3-ab32-456e-9f69-9ab300fdf44c/) — WPScan
- [WordPress.org プラグインページ（一時閉鎖の表示）](https://wordpress.org/plugins/ultimate-security-for-woocommerce/) — WordPress.org
- [FIRST EPSS API（値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-100109) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/security-for-woocommerce-unauthenticated-admin-creation-cve-2026-100109