WordPressプラグイン「Checkout Files Upload for WooCommerce」に任意ファイルアップロードの脆弱性（CVE-2026-

CVSS 9.8 CRITICAL 未ログインで悪用可能

対象	プラグイン Checkout Files Upload for WooCommerce 有効インストール約 7,000 件
影響バージョン	[*、2.4.0)
修正版	2.4.0
CVE	CVE-2026-103688
種類	任意ファイル操作（Unrestricted Upload of File with Dangerous Type）
悪用される確率（EPSS）	0.61%（全脆弱性の上位 51%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

2.4.0未満のバージョンでは、アップロードされるファイルの種類が確認されず、ログインしていない第三者がサーバーに任意のファイルを置ける状態です。不正なプログラムを置かれると、サイトを乗っ取られるおそれがあります。

想定される被害と条件

プラグインが有効なら、ログインしていない第三者でも不正なファイルをサーバーにアップロードできる
アップロードされたファイルが実行されると、サイトの改ざんや乗っ取り（リモートコード実行）につながる
注文情報や顧客の個人情報など、ショップ内のデータが盗まれるおそれがある
サイトがマルウェア配布やスパム送信の踏み台に悪用され、検索エンジンでの警告表示や信用低下を招く

今日やること

Checkout Files Upload for WooCommerce を 2.4.0 以上に更新し、すぐに更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新までの間はプラグインを無効化し、チェックアウト時のファイルアップロード機能を停止してください。WAF（Wordfence等）で不審なアップロードやPHPファイルの実行を遮断するのも有効です。

更新後に確認すること

サーバーのアップロード用フォルダ（wp-content/uploads 配下など）に、心当たりのない .php などの実行可能ファイルが無いか確認する（不明な場合は保守担当者へ依頼）
管理画面の「ユーザー」に見覚えのない管理者アカウントが追加されていないか確認する
トップページや投稿・固定ページに不審なリンクや改ざんが無いか、また「プラグイン」「外観」に知らない項目が増えていないか確認する
セキュリティプラグインでマルウェアスキャンを実行し、サーバーのアクセスログに不審なアップロード記録が無いか保守担当者に確認してもらう

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Checkout Files Upload for WooCommerce の現在の情報（WordPress.org、2026-11-02 取得）

最新版	2.4.0 修正版を含む
対応 WordPress	4.4 以上（検証済み 7.1.4）
最終更新	2026-10-21 12:45am GMT
有効インストール	7,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Checkout Files Upload for WooCommerce plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to 2.4.0. This is due to missing file type validation. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site’s server, which may make remote code execution possible.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/15f23748-fc32-4ea1-bd23-7b13ec1409af?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。