【2026年10月】FluentCRMに重大な権限昇格の脆弱性｜メール配信・顧客管理サイトは更新を

WordPressで顧客管理やメール配信を行う「FluentCRM」に、管理者権限を不正に取得される可能性がある脆弱性が公表されました。

CVE-2026-109694は10月15日に公開され、CVSS 9.8と評価されています。

OpenCVE

FluentCRMとは？

FluentCRMは、WordPress内で顧客情報、メールマガジン、ステップメール、マーケティングの自動化を管理できるプラグインです。

WooCommerceなどと連携し、商品購入や会員登録をきっかけとしたメール配信も可能です。外部CRMサービスに頼らず、WordPress内で顧客情報と販促活動を管理できることがメリットです。

今回の脆弱性と想定リスク

今回報告されたのは、ユーザー権限の割り当てが不適切に行われる問題です。

悪用されると、本来許可されていない管理者権限を取得され、サイト設定の変更、顧客情報へのアクセス、サイト改ざんなどにつながる可能性があります。

ただし、公開されているCVEの概要だけでは、具体的な攻撃成立条件や影響する設定を十分に確認できていません。

影響バージョンと確認・対策

3.2.5以前が対象で、3.2.6が修正版です。

開発元は10月12日公開の3.2.6で、WordPressユーザーに関する自動化処理の権限チェックを強化したと記載しています。ただし、その変更が今回のCVEに直接対応するものかは、公開履歴だけでは断定できません。

WordPress.org

利用中の場合は3.2.6以降へ更新し、ユーザー権限変更を伴う自動化設定、顧客管理、メール配信、WooCommerceとの連携動作を確認してください。

利用規模：有効インストール数80,000以上（2026年10月16日確認）。