--- title: "SureCart（WordPress）で認証なしに管理者アカウントを乗っ取れる欠陥（CVE-2026-120574）: CVSS 8.1、ワンタイムコードのログインに試行回数の制限なし、4.9.5 以前が対象" url: https://n-t-p.io/worldsecurity/articles/surecart-cve-2026-120574-wordpress-passwordless-login-code-brute-force-account-takeover-4-9-5 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-120574 --- # SureCart（WordPress）で認証なしに管理者アカウントを乗っ取れる欠陥（CVE-2026-120574）: CVSS 8.1、ワンタイムコードのログインに試行回数の制限なし、4.9.5 以前が対象 > **TL;DR:** WordPress の EC プラグイン SureCart 4.9.5 以前で、パスワードなしのワンタイムコードのログインに試行回数の制限がなく、認証なしで 6 桁のコードを総当たりして管理者を含む任意のユーザーとしてログインできる欠陥（CVE-2026-120574、CVSS 8.1、EPSS 0.0033）。KEV には未掲載。最新版へ更新する。 **要点** - ログイン用 REST ルートが誰でも呼べ、アカウントごとの試行回数の上限も持続的なロックアウトもないため、6 桁のコードを総当たりできる（CVE-2026-120574、CWE-287、Wordfence の CVSS v3.1 8.1） - 別の認証不要エンドポイントで管理者宛てにコードを送らせられ、成功すると管理者として認証 Cookie が発行される。CDN の流量制限は IP を変えれば回避できる - 対象は 4.9.5 以前のすべての版（有効インストール約 8 万）。EPSS 0.0033、KEV 未掲載。4.12.0 の更新履歴にログインコードの強化が記載されている - 最新版への更新、二要素認証と管理画面の制限、管理者の点検が必要。修正版の正確な番号と悪用の有無は未確認 WordPress の EC プラグイン SureCart に、認証なしで任意のユーザー（管理者を含む）のアカウントを乗っ取れる欠陥（CVE-2026-120574）が報告されています。パスワードなしのワンタイムコードによるログイン用の REST ルートが、アカウントごとの試行回数の上限も、メールや IP 単位の持続的なロックアウトもなく、6 桁のコードを総当たりできる作りになっていました。管理者宛てのコード送信を促す別の認証不要エンドポイントも使えるため、成功するとその管理者として認証済みのセッションが得られます。Wordfence 評価の CVSS v3.1 は 8.1、悪用予測（EPSS）は 0.0033 です。CISA の KEV（悪用が確認された脆弱性）カタログには載っていません。対象は 4.9.5 以前のすべての版です。 ## 概要 | 項目 | 内容 | |---|---| | 問題 | ワンタイムコードのログイン用 REST ルート（VerificationCodeController::verify()。権限チェックの関数が常に true を返す）が、送られたログイン名を任意の WordPress ユーザーに対応づけ、6 桁のコードを検証し、成功すると任意のロールのユーザーとして認証用 Cookie を発行する（CWE-287） | | 攻撃条件 | ネットワークから到達でき、認証・操作は不要（AV:N/PR:N/UI:N）。6 桁のコードを当てる必要があるため攻撃の複雑さは高い（AC:H） | | 影響 | 管理者を含む任意のユーザーとしてログインされ、サイトの完全な乗っ取りにつながる。機密性・完全性・可用性のすべてに高い影響 | | CVSS v3.1 | 8.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H、評価元は Wordfence。NVD の状態は Deferred） | | EPSS | 0.0033（パーセンタイル 0.263、FIRST、2026-11-03） | | CISA KEV | 載っていない（2026-11-04 時点） | | 対象 | SureCart 4.9.5 以前のすべての版（WordPress.org の有効インストール数は約 8 万） | | 修正版 | 公式の勧告で版番号を確認できていない。最新の 4.12.0（2026-11-03）の更新履歴には「パスワードなしログインコードの仕組みのセキュリティを強化」とある | 仕組みはこうです。SureCart には、パスワードを使わず、メールで届く 6 桁のコードでログインできる機能があります。この機能の REST ルートは誰でも呼べる設定で、攻撃者が指定したログイン名を WordPress のユーザーに対応づけます。影響を受ける版では、アカウントごとの失敗回数の記録も、メールアドレスや IP を軸にした持続的な制限もありません。前段の CDN による流量制限はありますが、IP を変えれば回避できます。さらに、管理者のような高い権限のアカウントを、このルート経由でログインさせない制限もありませんでした。6 桁は 100 万通りなので、制限がなければ総当たりで当たる可能性があります。 ## なぜ重要か EC サイトの管理者アカウントを奪われると、顧客情報や注文情報の閲覧、決済設定の変更、プラグインやテーマ経由のコード設置などに進める可能性があります。認証なしで外から試せる点が、被害の想定を大きくします。 一方で、攻撃には 6 桁のコードを総当たりする必要があり、CVSS でも攻撃の複雑さは高く評価されています。EPSS は低く、KEV にも載っていません。それでも対象の版は広く使われているプラグインで、管理者宛てのコード送信と総当たりを組み合わせるだけで成立するため、更新を先延ばしにしない方が安全です。 ## 対策 - SureCart を最新版（2026-11-04 時点で 4.12.0）に更新する。4.12.0 の更新履歴にパスワードなしログインコードの強化が記載されている。 - 更新できない間は、SureCart のワンタイムコードによるログインを無効にできるか、設定を確認する。また、WAF などで該当の REST ルートへの短時間の大量リクエストを制限する（効果は環境による）。 - 管理者アカウントの二要素認証や、管理画面への IP 制限を併用する。 - 管理者のログイン履歴と、不審な管理者アカウント・プラグイン・テーマの追加がないかを点検する。 ## 数値と出典（2026-11-04 時点） | 項目 | 内容 | |---|---| | NVD | Deferred。CVSS v3.1 8.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）、評価元は Wordfence。弱点の種類は CWE-287 | | EPSS | 0.0033、パーセンタイル 0.263（FIRST、2026-11-03） | | KEV | 載っていない | | 出典 | NVD、Wordfence Threat Intelligence、WordPress.org のプラグインページ、FIRST、CISA KEV | ## 未確認の点 - 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。 - 修正が入った正確な版番号。4.9.6 から 4.12.0 までのどの版で直ったか、公式の勧告では確認できていない。 - NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。 - 総当たりに実際に必要な試行回数と時間、コードの有効期限の長さ。 - ワンタイムコードによるログインを設定で無効にできるか。 - 公開された悪用コードの有無。 ## 出典 - [NVD CVE-2026-120574](https://nvd.nist.gov/vuln/detail/CVE-2026-120574) — NIST NVD - [Wordfence Threat Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/id/dffdcaa2-5100-48f5-9b82-e22075fd87e5) — Wordfence - [WordPress.org SureCart プラグインページ](https://wordpress.org/plugins/surecart/) — WordPress.org - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120574) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/surecart-cve-2026-120574-wordpress-passwordless-login-code-brute-force-account-takeover-4-9-5