検索NeSC を見る
脆弱性・CVE速報深刻度: 高

SureCart（WordPress）で認証なしに管理者アカウントを乗っ取れる欠陥（CVE-2026-120574）: CVSS 8.1、ワンタイムコードのログインに試行回数の制限なし、4.9.5 以前が対象

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-120574

WordPress の EC プラグイン SureCart に、認証なしで任意のユーザー（管理者を含む）のアカウントを乗っ取れる欠陥（CVE-2026-120574）が報告されています。パスワードなしのワンタイムコードによるログイン用の REST ルートが、アカウントごとの試行回数の上限も、メールや IP 単位の持続的なロックアウトもなく、6 桁のコードを総当たりできる作りになっていました。管理者宛てのコード送信を促す別の認証不要エンドポイントも使えるため、成功するとその管理者として認証済みのセッションが得られます。Wordfence 評価の CVSS v3.1 は 8.1、悪用予測（EPSS）は 0.0033 です。CISA の KEV（悪用が確認された脆弱性）カタログには載っていません。対象は 4.9.5 以前のすべての版です。

概要

項目内容
問題ワンタイムコードのログイン用 REST ルート（VerificationCodeController::verify()。権限チェックの関数が常に true を返す）が、送られたログイン名を任意の WordPress ユーザーに対応づけ、6 桁のコードを検証し、成功すると任意のロールのユーザーとして認証用 Cookie を発行する（CWE-287）
攻撃条件ネットワークから到達でき、認証・操作は不要（AV:N/PR:N/UI:N）。6 桁のコードを当てる必要があるため攻撃の複雑さは高い（AC:H）
影響管理者を含む任意のユーザーとしてログインされ、サイトの完全な乗っ取りにつながる。機密性・完全性・可用性のすべてに高い影響
CVSS v3.18.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H、評価元は Wordfence。NVD の状態は Deferred）
EPSS0.0033（パーセンタイル 0.263、FIRST、2026-11-03）
CISA KEV載っていない（2026-11-04 時点）
対象SureCart 4.9.5 以前のすべての版（WordPress.org の有効インストール数は約 8 万）
修正版公式の勧告で版番号を確認できていない。最新の 4.12.0（2026-11-03）の更新履歴には「パスワードなしログインコードの仕組みのセキュリティを強化」とある

仕組みはこうです。SureCart には、パスワードを使わず、メールで届く 6 桁のコードでログインできる機能があります。この機能の REST ルートは誰でも呼べる設定で、攻撃者が指定したログイン名を WordPress のユーザーに対応づけます。影響を受ける版では、アカウントごとの失敗回数の記録も、メールアドレスや IP を軸にした持続的な制限もありません。前段の CDN による流量制限はありますが、IP を変えれば回避できます。さらに、管理者のような高い権限のアカウントを、このルート経由でログインさせない制限もありませんでした。6 桁は 100 万通りなので、制限がなければ総当たりで当たる可能性があります。

なぜ重要か

EC サイトの管理者アカウントを奪われると、顧客情報や注文情報の閲覧、決済設定の変更、プラグインやテーマ経由のコード設置などに進める可能性があります。認証なしで外から試せる点が、被害の想定を大きくします。

一方で、攻撃には 6 桁のコードを総当たりする必要があり、CVSS でも攻撃の複雑さは高く評価されています。EPSS は低く、KEV にも載っていません。それでも対象の版は広く使われているプラグインで、管理者宛てのコード送信と総当たりを組み合わせるだけで成立するため、更新を先延ばしにしない方が安全です。

対策

  • SureCart を最新版（2026-11-04 時点で 4.12.0）に更新する。4.12.0 の更新履歴にパスワードなしログインコードの強化が記載されている。
  • 更新できない間は、SureCart のワンタイムコードによるログインを無効にできるか、設定を確認する。また、WAF などで該当の REST ルートへの短時間の大量リクエストを制限する（効果は環境による）。
  • 管理者アカウントの二要素認証や、管理画面への IP 制限を併用する。
  • 管理者のログイン履歴と、不審な管理者アカウント・プラグイン・テーマの追加がないかを点検する。

数値と出典（2026-11-04 時点）

項目内容
NVDDeferred。CVSS v3.1 8.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）、評価元は Wordfence。弱点の種類は CWE-287
EPSS0.0033、パーセンタイル 0.263（FIRST、2026-11-03）
KEV載っていない
出典NVD、Wordfence Threat Intelligence、WordPress.org のプラグインページ、FIRST、CISA KEV

未確認の点

  • 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
  • 修正が入った正確な版番号。4.9.6 から 4.12.0 までのどの版で直ったか、公式の勧告では確認できていない。
  • NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。
  • 総当たりに実際に必要な試行回数と時間、コードの有効期限の長さ。
  • ワンタイムコードによるログインを設定で無効にできるか。
  • 公開された悪用コードの有無。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03〜04）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事