WordPressでネットショップを構築できる「SureCart」に、未ログインの第三者が不正なスクリプトを埋め込める脆弱性が報告されました。
SureCartとは？
SureCartは、商品販売、定期購入、会員向けサービス、デジタル商品のダウンロード販売、寄付受付などに対応するECプラグインです。
StripeやPayPalなどと連携し、決済やサブスクリプション管理を行えます。
WooCommerceとは異なり、決済や注文管理の一部をSureCartのクラウド基盤で処理する仕組みが特徴です。WordPress側のデータベース負荷を抑えながら販売機能を導入できる点がメリットです。
2026年10月16日時点の有効インストール数は80,000以上です。
WordPress.org
今回の脆弱性について
今回の問題は、コメントの内容とSureCartの購入ボタンを表示する処理に関係しています。
不正な内容を含むコメントが表示されたページで、SureCartの特定のJavaScript処理が動作すると、スクリプトが実行される可能性があります。
攻撃成立には、購入ボタンなどを表示するSureCartのコンポーネントが読み込まれ、特定のチェックアウト要素が存在しないなどの条件があります。
悪用された場合、閲覧者のブラウザ上で意図しない処理が実行されるおそれがあります。ただし、今回の脆弱性だけで決済情報が直接流出すると確認されたわけではありません。
Wordfence
影響バージョンと対策
4.9.4以前が対象で、4.9.5で修正されています。
さらに、2026年10月16日には4.9.6が公開されました。
4.9.6では、パスワードを使わないログイン認証の安全性強化や、データへのアクセス権限の確認処理の改善も行われています。これらが今回のCVEと同一の問題というわけではありません。
WordPress.org
利用中の場合は、最新版4.9.6への更新をおすすめします。
更新後は商品ページ、購入ボタン、カート、決済、購入完了画面、顧客ログインなどが正常に動作するか確認してください。
ECサイトでは、購入者が操作するページの安全性が重要です。
今回の問題は特定の条件下で成立するものですが、販売機能を提供するプラグインは、更新後の動作確認も含めて慎重に管理しましょう。
公式情報： WordPress.org — SureCart 脆弱性情報： Wordfence — CVE-2026-109224
メタディスクリプション案：