WordPressプラグイン「Event Booking Manager for WooCommerce」に権限昇格の脆弱性（CVE-2026-109381）

CVSS 7.2 HIGH

対象	プラグイン Event Booking Manager for WooCommerce （Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar）有効インストール約 7,000 件
影響バージョン	5.7.8 以下
修正版	5.7.9
CVE	CVE-2026-109381
種類	権限昇格（Improper Privilege Management）
悪用される確率（EPSS）	0.43%（全脆弱性の上位 63%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

バージョン5.7.8以前では、ショップマネージャー権限を持つユーザーが本来使えない管理者権限の操作を行える状態になっています。サイト設定の変更や管理者アカウントの作成など、サイト全体を乗っ取られるおそれがあります。

想定される被害と条件

ショップマネージャー以上のアカウントを持つ人物（または乗っ取られたアカウント）が管理者と同等の権限を得る
サイトの一般設定やユーザー登録設定などが無断で変更される
不正な管理者アカウントが作成され、サイトを継続的に乗っ取られる
管理者権限を悪用して不正なプラグイン導入などが行われ、改ざんやマルウェア設置につながる
ショップマネージャー権限のアカウントが外部委託者やパスワード流出により悪用された場合に被害が発生する

今日やること

Event Booking Manager for WooCommerce（mage-eventpress）を5.7.9以上に更新し、更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新までの間、ショップマネージャー権限のユーザーを必要最小限に絞り、不要なアカウントは削除・権限変更してパスワードを変更してください。それが難しい場合はプラグインを一時停止してください。

更新後に確認すること

管理画面「ユーザー」で見覚えのない管理者アカウントや、権限が管理者に変わったユーザーがいないか確認する
「設定」の一般設定（サイトURL、管理者メールアドレス、新規ユーザーのデフォルト権限、誰でもユーザー登録できる設定など）が変更されていないか確認する
「プラグイン」「外観」画面で見覚えのないプラグイン・テーマの追加や編集がないか確認する
ショップマネージャー権限のユーザーのパスワードを変更し、ログイン履歴やアクティビティログに不審な操作がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Event Booking Manager for WooCommerce の現在の情報（WordPress.org、2026-11-02 取得）

最新版	5.7.12 修正版を含む
対応 WordPress	5.3 以上（検証済み 7.0.8）
最終更新	2026-10-29 7:06am GMT
有効インストール	7,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Mage Eventpress plugin for WordPress is vulnerable to privilege escalation in versions up to, and including, 5.7.8 This is due to the mep_grant_shop_manager_access() function hooking user_has_cap and unconditionally granting manage_options whenever an attacker-controllable request marker matches — most notably $_GET[‘page’] starting with ‘mep_’ or ‘mpwem_’, which is never validated against an actually registered EventPress screen. This makes it possible for authenticated attackers, with Shop Manager-level access and above, to elevate their privileges to Administrator by appending ?page=mep_x to core admin URLs (options-general.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/076607ec-d848-4b4e-986b-31287f8f0ae4?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。