WordPressプラグイン「Export and Import Users and Customers」のバージョン2.7.6が、2026年10月12日に公開されました。今回の更新では、ユーザー情報のCSV出力と再取り込みに関係するセキュリティ上の問題が修正されています。
どんなプラグイン？
Export and Import Users and Customersは、WordPressのユーザー情報やWooCommerceの顧客情報をCSV形式で出力・取り込みできるプラグインです。例えば、Webサイトを新しいサーバーへ移転する際に、登録ユーザーの情報をまとめて移行できます。また、大量のユーザー情報を一括で登録・更新したい場合にも便利です。
手作業で一件ずつ入力する必要がなくなるため、会員サイトやネットショップの管理業務を効率化できます。
2026年10月13日時点の有効インストール数は6万以上です。WordPress.org
今回のセキュリティ修正
公式更新履歴によると、今回の修正では、ユーザーのプロフィール情報に細工されたデータが含まれていた場合に、CSVの出力と再取り込みを通じて権限昇格につながる可能性がある問題に対応しています。
権限昇格とは、本来許可されていない操作を実行できる権限を取得してしまうことです。
ただし、今回の問題がどのような条件で成立するのか、具体的な攻撃手順や影響範囲については十分な公開情報がありません。
出力ファイル名の安全性も改善
バージョン2.7.6では、CSVの自動生成ファイル名にランダムな文字列を追加する改善も行われています。これにより、ファイルのURLを推測されにくくしています。ユーザー情報や顧客情報を扱うファイルは、個人情報が含まれる可能性があるため、保存場所やアクセス制御にも注意が必要です。
更新時に確認したいこと
プラグインを利用している場合は、バックアップを取得して2.7.6へ更新してください。更新後は、CSVの出力、ユーザー情報の取り込み、既存ユーザーの更新が正常に動作するか確認しましょう。また、今回の更新ではWooCommerceのHPOSとの互換性に関する修正も含まれています。
WooCommerceを利用している場合は、注文管理機能への影響も確認しておくと安心です。
なお、今回のバージョンからPHPの最低要件が7.4に引き上げられています。
ユーザー情報や顧客情報を扱うプラグインでは、データの取り込み・出力処理にもセキュリティ上の注意が必要です。特にCSVファイルを利用したデータ移行では、ファイルの内容だけでなく、保存場所やアクセス権限も含めて確認しましょう。