WooCommerce向けプラグイン「3D Product configurator for WooCommerce」に、外部から不正なプログラムを実行されるおそれがある脆弱性が報告されました。
影響を受けるのは2.16.2以前で、2.16.3に修正が含まれています。
どんなプラグイン？
このプラグインは、ネットショップの商品を3Dで表示し、購入者が色や仕様などを選択できるようにする仕組みです。ExpiviのサービスとWooCommerceを連携させ、商品を360度から確認したり、カスタマイズした結果を視覚的に確認したりできます。
家具やオーダーメイド商品など、購入前に完成イメージを確認したい商品に適した機能です。
WordPress.orgでの有効インストール数は100以上です（2026年10月12日確認）。
今回の脆弱性について
今回報告されたのは、認証されていない第三者によるリモートコード実行（RCE）の脆弱性です。特定の入力処理とPDF生成処理に問題があり、攻撃者がサーバー側で不正なコードを実行できるおそれがあります。
実際に悪用された場合、サイトの改ざんや情報の流出など、重大な被害につながる可能性があります。
- 脆弱性：CVE-2026-103889
- 深刻度：CVSS 9.8
- 対象：2.16.2以前
- 修正版：2.16.3以降
- 公開日：2026年10月9日
確認と対策
このプラグインを使用している場合は、バージョンを確認し、2.16.3以降へ更新してください。
更新前にバックアップを取得し、更新後は3D表示、商品のカスタマイズ、カートへの追加、注文処理が正常に動作するか確認しましょう。古いバージョンを長期間使用していた場合は、不審なファイルや管理者アカウントの追加なども確認することをおすすめします。
利用サイト数が比較的少ないプラグインであっても、深刻な脆弱性が発見されることがあります。
特にネットショップでは、セキュリティだけでなく、更新による購入機能への影響も確認することが大切です。
公式・関連情報
メタディスクリプション案
3D Product configurator for WooCommerceの重大な脆弱性CVE-2026-103889について、プラグインの機能、対象バージョン、対策を解説します。