CVE-2026-85121／CVSS 9.1／2026年10月12日公表・未通知分
WooCommerce向けプラグイン「Insurify – Order & Shipping Protection」に、ログインしていない第三者がWordPressの設定を書き換えられる重大な脆弱性が報告されました。
Insurifyとは？
Insurifyは、ネットショップの購入時に配送中の商品紛失や破損などに備える補償サービスを追加するプラグインです。
購入手続き時に補償を選択できる仕組みを提供し、購入者の安心感を高めることを目的としています。
今回の脆弱性について
特定のAJAX処理で権限確認が不足しており、未ログインの第三者がWordPressの設定項目を作成・上書きできる可能性があります。
設定内容によっては、プラグインの動作停止やサイトの正常な運用への影響が考えられます。
今回の問題はCVSS 9.1と評価されています。ただし、すべての環境で管理者アカウントの乗っ取りまで成立することが確認されたわけではありません。
Patchstack
影響バージョンと対策
1.0以前が対象です。
2026年10月16日時点で公式修正版は確認できません。 WordPress.orgでは9月25日から配布停止となっています。
WordPress.org
利用中の場合は、購入・配送補償への業務影響を確認したうえで、プラグインの停止や代替手段への移行を検討してください。設定の不審な変更や、想定外のプラグイン停止が発生していないかも点検が必要です。
利用規模： WordPress.org公式の有効インストール数は非公開（2026年10月16日確認）。
公式リンク： WordPress.org — Insurify ／ Patchstack脆弱性情報
メタディスクリプション案：