---
title: "WordPress プラグイン s2Member 260927 以前 CVE-2026-86596（CVSS v3.1 9.8）: item_name 経由で PHP コード実行、PHP タグ除去の不備"
url: https://n-t-p.io/worldsecurity/articles/wordpress-s2member-260927-before-rce-item-name-php-tag-cve-2026-86596
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 高
cve: CVE-2026-86596
---

# WordPress プラグイン s2Member 260927 以前 CVE-2026-86596（CVSS v3.1 9.8）: item_name 経由で PHP コード実行、PHP タグ除去の不備

> **TL;DR:** WordPress の会員制プラグイン s2Member 260927 以前で、item_name 経由の PHP コード実行が可能（CVE-2026-86596、CVSS v3.1 9.8）。PHP タグ除去の後に <?php が再び組み上がる。説明文は認証済みユーザーが対象とし、ベクターは認証不要と食い違う。修正版の版番号は未確認。KEV なし、EPSS は未算定。

**要点**
- s2Member 260927 までが対象。strip_php_tags_deep() の除去後に、プレースホルダーの後処理で <?php が再構成される（CWE-94）
- CVSS v3.1 は 9.8（PR:N）だが、説明文は「カスタムレベル以上の認証済みユーザー」とし食い違う
- NVD は Deferred、KEV 掲載なし、EPSS は未算定
- 修正版の版番号、認証の要否、悪用の有無は未確認。更新情報の確認と、不要なら一時無効化を

NVD は 2026-11-02 に、WordPress の会員制サイト向けプラグイン s2Member の脆弱性 CVE-2026-86596 を登録しました。260927 までのすべての版が対象で、`item_name` パラメーターを通じ、サーバー上で任意の PHP コードを実行される恐れがあります（CWE-94）。CNA の Wordfence は CVSS v3.1 を 9.8（AV:N/AC:L/PR:N/UI:N）と付けています。ただし説明文には「カスタムレベル以上の認証済みユーザーが対象」とあり、ベクターの PR:N と食い違っています。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-86596 |
| 対象 | s2Member（WordPress プラグイン）260927 まで（以下を含む） |
| 問題 | `strip_php_tags_deep()` がリテラルの `<?` だけを除去し、メールテンプレートへの値の埋め込み後に行うプレースホルダーの後処理で、有効な `<?php` が再び組み立てられる |
| 入口 | `item_name` パラメーター（PayPal 通知を処理するコードなどが参照） |
| CWE | CWE-94（コードインジェクション） |
| CVSS v3.1 | 9.8 CRITICAL（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。付与元は Wordfence |

- 攻撃者が値を埋め込んだ時点では `<?` が含まれないため除去をすり抜け、その後の整形で `<?php` が組み上がる、という仕組みです。
- NVD の説明文は、攻撃者を「カスタムレベル以上のアクセス権を持つ認証済みユーザー」としています。一方 CVSS ベクターは認証不要（PR:N）で、この食い違いを解消する情報は確認できていません。

## 影響範囲

- s2Member を導入している WordPress サイト。会員レベルごとの課金やコンテンツ制限に使われます。
- 成功すれば、Web サーバーの権限でコードが実行され、サイトの改ざん、データベース認証情報の窃取、バックドアの設置につながる可能性があります。機密性・完全性・可用性の影響はいずれも高（H）とされています。
- 認証が必要かどうか（説明文）と、必要なアクセス権のレベルは、確認できていません。

## 修正

NVD の参照には、プラグインのリポジトリのチェンジセット 3722434 と、版 260829 のソースの該当箇所が挙がっています。修正を含む正式な版番号は、NVD の記載だけでは確認できていません。NVD の状態は Deferred です。

## 利用者がとれる対策

- s2Member を使っているサイトは、プラグインの更新情報を確認し、修正版が出ていれば直ちに更新する。
- 修正版を確認できないうちは、決済通知の受け口を含め、s2Member の機能が不要なら一時的に無効化する。
- Web サーバーのユーザーで実行される不審な PHP ファイルの有無、`wp-content` 配下の最近の変更、管理者アカウントの追加を点検する。
- WAF で `item_name` に PHP タグ様の文字列を含むリクエストを検知・遮断する。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred（NVD 自身の分析は未実施） |
| CVSS v3.1 | 9.8（CRITICAL）。付与元は Wordfence |
| EPSS | 未算定（FIRST、2026-11-03 時点） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、Wordfence、WordPress プラグインリポジトリ、FIRST、CISA |

## 未確認の点

- 悪用の有無（KEV 掲載なし、EPSS は未算定で、公開された攻撃コードは確認できていません）。
- 認証の要否と、必要なアクセス権のレベル（説明文とベクターが食い違っています）。
- 修正を含む正式な版番号。
- 実際にコード実行へ到達できる条件（PayPal 連携の設定など）。
- NVD による分析結果（現在は未分析）。


## 出典
- [NVD CVE-2026-86596](https://nvd.nist.gov/vuln/detail/CVE-2026-86596) — NIST NVD
- [Wordfence 脆弱性情報](https://www.wordfence.com/threat-intel/vulnerabilities/id/bbe64cd3-c5ca-4867-90de-4784510a1126) — Wordfence
- [s2Member チェンジセット 3722434](https://plugins.trac.wordpress.org/changeset/3722434/s2member) — WordPress.org
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-86596) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-s2member-260927-before-rce-item-name-php-tag-cve-2026-86596