WordPressプラグイン「Export and Import Users and Customers」に権限昇格の脆弱性（CVE-2026-104368）

CVSS 8.8 HIGH

対象	プラグイン Export and Import Users and Customers 有効インストール約 50,000 件
影響バージョン	2.7.5 以下
修正版	2.7.6
CVE	CVE-2026-104368
種類	権限昇格（Improper Encoding or Escaping of Output）
悪用される確率（EPSS）	0.35%（全脆弱性の上位 72%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

バージョン2.7.5以前では、購読者などの低い権限でログインできる利用者が、ユーザーのエクスポート・インポート機能を通じて管理者アカウントを作成できる可能性があります。サイトを乗っ取られるおそれがあるため、早急な更新が必要です。

想定される被害と条件

購読者（Subscriber）以上の権限を持つアカウントがあれば、攻撃者が新たな管理者アカウントを作れる可能性がある
被害が起きるのは、管理者がこのプラグインでユーザーをエクスポートし、そのファイルを再インポートしたとき
作られた管理者アカウントにより、サイトの改ざん、不正なプラグインの設置、顧客・会員情報の閲覧や持ち出しが起こりうる
一般ユーザーの登録を受け付けているサイト（会員サイト・ECサイトなど）は特に影響を受けやすい

今日やること

Export and Import Users and Customers を 2.7.6 以上に更新し、未修正のままなら更新できるまでプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新できるまでは、このプラグインでのユーザーのエクスポート・再インポートを行わないでください。可能であればプラグインを停止し、新規ユーザー登録も一時的に止めてください。

更新後に確認すること

管理画面「ユーザー」で権限グループを「管理者」に絞り込み、心当たりのないアカウントが無いか確認する
最近インポートしたユーザーや、登録日時が不自然なユーザーが無いか確認する
購読者アカウントのプロフィール欄（自己紹介）に、意味をなさない不審な文字列が入っていないか確認する
「プラグイン」「外観」の画面で、覚えのないプラグインやテーマの追加・変更が無いか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Export and Import Users and Customers の現在の情報（WordPress.org、2026-11-02 取得）

最新版	2.7.7 修正版を含む
対応 WordPress	3.0.1 以上（検証済み 7.1.4）
最終更新	2026-10-26 7:23am GMT
有効インストール	50,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Export and Import Users and Customers plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 2.7.5 via the plugin’s own export and re-import workflow. The vulnerability exists because of a CSV escape-character mismatch between the exporter and the importer: class-csvwriter.php writes cells with fputcsv() using PHP’s default backslash () escape character, while class-csvreader.php parses the same file with fgetcsv() using a double-quote (“) as the escape character. As a result, a crafted value stored in a Subscriber’s Biographical Info field — containing a backslash-quote sequence followed by a newline — is written as a single quoted CSV field but parsed back as two separate rows on import. The injected second row is then processed by hf_create_customer() as a new user record whose user_login, user_pass, user_email, and role are entirely attacker-controlled, allowing the creation of an arbitrary Administrator account. This makes it possible for authenticated attackers with Subscriber-level access and above to escalate their privileges to Administrator.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/4d358e43-f193-42fd-b49a-1b2a943183f2?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。