WordPress プラグイン s2Member 260927 以前 CVE-2026-86596（CVSS v3.1 9.8）: item_name 経由で PHP コード実行、PHP タグ除去の不備

NVD は 2026-11-02 に、WordPress の会員制サイト向けプラグイン s2Member の脆弱性 CVE-2026-86596 を登録しました。260927 までのすべての版が対象で、item_name パラメーターを通じ、サーバー上で任意の PHP コードを実行される恐れがあります（CWE-94）。CNA の Wordfence は CVSS v3.1 を 9.8（AV:N/AC:L/PR:N/UI:N）と付けています。ただし説明文には「カスタムレベル以上の認証済みユーザーが対象」とあり、ベクターの PR:N と食い違っています。

概要

項目	内容
CVE	CVE-2026-86596
対象	s2Member（WordPress プラグイン）260927 まで（以下を含む）
問題	strip_php_tags_deep() がリテラルの <? だけを除去し、メールテンプレートへの値の埋め込み後に行うプレースホルダーの後処理で、有効な <?php が再び組み立てられる
入口	item_name パラメーター（PayPal 通知を処理するコードなどが参照）
CWE	CWE-94（コードインジェクション）
CVSS v3.1	9.8 CRITICAL（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。付与元は Wordfence

• 攻撃者が値を埋め込んだ時点では <? が含まれないため除去をすり抜け、その後の整形で <?php が組み上がる、という仕組みです。
• NVD の説明文は、攻撃者を「カスタムレベル以上のアクセス権を持つ認証済みユーザー」としています。一方 CVSS ベクターは認証不要（PR:N）で、この食い違いを解消する情報は確認できていません。

影響範囲

• s2Member を導入している WordPress サイト。会員レベルごとの課金やコンテンツ制限に使われます。
• 成功すれば、Web サーバーの権限でコードが実行され、サイトの改ざん、データベース認証情報の窃取、バックドアの設置につながる可能性があります。機密性・完全性・可用性の影響はいずれも高（H）とされています。
• 認証が必要かどうか（説明文）と、必要なアクセス権のレベルは、確認できていません。

修正

NVD の参照には、プラグインのリポジトリのチェンジセット 3722434 と、版 260829 のソースの該当箇所が挙がっています。修正を含む正式な版番号は、NVD の記載だけでは確認できていません。NVD の状態は Deferred です。

利用者がとれる対策

• s2Member を使っているサイトは、プラグインの更新情報を確認し、修正版が出ていれば直ちに更新する。
• 修正版を確認できないうちは、決済通知の受け口を含め、s2Member の機能が不要なら一時的に無効化する。
• Web サーバーのユーザーで実行される不審な PHP ファイルの有無、wp-content 配下の最近の変更、管理者アカウントの追加を点検する。
• WAF で item_name に PHP タグ様の文字列を含むリクエストを検知・遮断する。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Deferred（NVD 自身の分析は未実施）
CVSS v3.1	9.8（CRITICAL）。付与元は Wordfence
EPSS	未算定（FIRST、2026-11-03 時点）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、Wordfence、WordPress プラグインリポジトリ、FIRST、CISA

未確認の点

• 悪用の有無（KEV 掲載なし、EPSS は未算定で、公開された攻撃コードは確認できていません）。
• 認証の要否と、必要なアクセス権のレベル（説明文とベクターが食い違っています）。
• 修正を含む正式な版番号。
• 実際にコード実行へ到達できる条件（PayPal 連携の設定など）。
• NVD による分析結果（現在は未分析）。