payeverのCVE-2026-93754——未認証RCEの恐れ、修正版へ更新を

公開日：2026年11月7日文：クリスタルメソッド編集部監修：河合継（代表取締役）

payever Checkout – Composable Payment Gateway 脆弱性 CVE-2026-93754 の概要

2026年11月7日、WordPressセキュリティ専門のCNA（Common Numbering Authority）であるWordfenceが、CVE-2026-93754を公開した。対象は「payever – WooCommerce Gateway」プラグインのバージョン4.8.0以下である（出典：CVE公式記録 cve.org）。

CVSS v3.1スコアは9.8（CRITICAL）。攻撃ベクターはネットワーク経由、攻撃の複雑度は低、必要な権限はなし、ユーザー操作も不要——インターネットに公開されたWooCommerceサイトに対して、アカウントを持たない外部の攻撃者が悪用できる構造である。

弱点の種類はCWE-434「危険なファイル種別の無制限アップロード」に分類される。ベンダー（payever）による公式告知の内容はCVE公式記録の時点では取得できていないため、修正版の版番号および公式の回避策は「記載なし」とする。

図: CVE-2026-93754 の攻撃チェーン。未認証の攻撃者が upload_image() の検証欠如を突き、実行可能なPHPファイルをサーバーに配置してRCEに至る主経路と、ハードコード済み認証情報を利用する独立した別経路を示す（出典: cve.org / CVE-2026-93754）。

CVE-2026-93754 の技術的構造——なぜ「認証なし」でRCEに至るのか

本脆弱性の核心は、upload_image() という処理関数の実装順序の欠陥にある。ファイルアップロードを受け付けるコードは本来、拡張子・MIMEタイプを検証してから書き込むが、このプラグインでは検証の前に攻撃者が制御できる basename() の値でファイルが公開の uploads ディレクトリへ書き込まれる。

攻撃者は .php 拡張子を持つ実行可能ファイルを任意の内容でサーバーに配置できる。配置後はHTTPリクエスト1本でそのファイルを呼び出せるため、サーバー上での任意コマンド実行——リモートコード実行（RCE）——が成立する。攻撃チェーン全体のうちトークン回復部分は、プラグインがPayeverのサービスへ発信する validateToken() 呼び出しに依存している。

さらに、ハードコード済み認証情報による識別情報の上書き（CWE-862/CWE-798）は、このトークン取得経路とは独立して単独でも悪用可能であることがCVE記録に明記されている。

CVE-2026-93754 CVSS 3.1 スコア内訳（評価者: Wordfence）
指標	値	意味
攻撃ベクター (AV)	ネットワーク (N)	インターネット経由で遠隔から攻撃可能
攻撃の複雑度 (AC)	低 (L)	特別な条件や事前の情報収集が不要
必要な権限 (PR)	なし (N)	アカウント・ログインを要しない
ユーザー操作 (UI)	不要 (N)	管理者のクリックや承認を要しない
スコープ (S)	変更なし (U)	影響はプラグインの権限範囲内
機密性 (C)	高 (H)	—
完全性 (I)	高 (H)	—
可用性 (A)	高 (H)	—

出典: CVE公式記録 cve.org / CVE-2026-93754（Wordfence評価、2026-11-07公開）

機密性・完全性・可用性がいずれも「高」という評価は、RCEが成立した場合のサーバー全体への影響を反映している。ただし、これはWordfenceによる評価であり、NVDやCISAが独自の評価を公表した場合は値が異なる可能性がある。

次に読む：シーメンスIoT2050の脆弱性で何が起きる？

シーメンスIoT2050にCVE-2026-58115——未認証で遠隔から任意コード実行可能

日本の運用担当者にとっての意味——決済プラグインのRCEが問う構造的リスク

payever – WooCommerce GatewayはECサイトの決済処理に組み込まれるプラグインである。決済処理に関わるWordPressプラグインがRCEの入口になるという事実は、通常のコンテンツ系プラグインの脆弱性とは質的に異なる意味を持つ。

payever Checkout – Composable Payment Gateway 脆弱性への対応——今やること

CVE公式記録に記載された事実に基づき、対応を次の2点に絞る。

1. 修正版への更新
「payever – WooCommerce Gateway」がバージョン4.8.0以下であれば影響を受ける。ベンダー（payever）の公式告知の修正版へ更新する。

2. 修正版が未公開の場合、ベンダーの告知に従う
公式の回避策はCVE公式記録の時点では「記載なし」である。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

この脆弱性が示す設計上の教訓——WordPressプラグイン選定とセキュリティ運用

CVE-2026-93754が示す問題は、ファイルアップロード処理におけるセキュリティチェックの順序という基本的な設計原則に帰着する。「検証の前にファイルを書き込む」実装は、CWE-434が定義する典型的な欠陥パターンである。

WordPressエコシステムでは、サードパーティプラグインがコアとは独立したコードレビュープロセスで公開される。決済処理・フォーム送信・メディアアップロードといった外部入力を受け付ける機能を持つプラグインは、CWE-434を含むファイル操作系の脆弱性を内包しやすい領域として認識しておく必要がある。

今回のCVEはハードコード済み認証情報（CWE-798）という別の弱点も含んでおり、upload_image() 経路とは独立して単独でも悪用可能である。