WordPressプラグイン「PDF Invoice for WooCommerce + Drag and Drop Template Bu（CVE-2026-

CVSS 9.8 CRITICAL 未ログインで悪用可能

対象	プラグイン PDF Invoice for WooCommerce + Drag and Drop Template Builder 有効インストール約 500 件
影響バージョン	7.1.1 以下
修正版	7.2.0
CVE	CVE-2026-109220
種類	リモートコード実行（Deserialization of Untrusted Data）
悪用される確率（EPSS）	0.52%（全脆弱性の上位 56%）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

バージョン7.1.1以前では、注文時の備考欄に仕込まれたデータが請求書PDF作成時に不正に処理され、サーバー上で任意のプログラムを実行される恐れがあります。ログイン不要で悪用可能な深刻度「緊急」の脆弱性です。

想定される被害と条件

ログイン不要の第三者によりサーバー上で任意のコードが実行され、サイトが乗っ取られる恐れ
顧客の氏名・住所・注文履歴など個人情報やデータベース内容の漏えい
不正なファイル（バックドア）の設置や改ざん、マルウェア配布・スパム送信への悪用
銀行振込や小切手払いなど請求書が自動生成される決済方法を有効にしている店舗で特に危険

今日やること

PDF Invoice for WooCommerce + Drag and Drop Template Builderを7.2.0以上に今すぐ更新し、更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新までプラグインを停止するか、銀行振込・小切手など注文を自動で保留にする決済方法を一時的に無効化してください。WAFで注文備考欄への不審な入力を遮断することも有効です。

更新後に確認すること

WooCommerceの注文一覧で、身に覚えのないゲスト注文や備考欄に不自然な記号・文字列を含む注文がないか確認する
「ユーザー」画面で見覚えのない管理者アカウントが追加されていないか確認する
サーバー上（wp-content/uploads等）に最近作成・変更された不審なPHPファイルがないか、セキュリティプラグインやホスティング会社のツールでスキャンする
念のため管理者・データベース・FTP等のパスワードを変更し、アクセスログに/wc/store/v1/checkoutへの不審な大量アクセスがないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

PDF Invoice for WooCommerce + Drag and Drop Template Builder の現在の情報（WordPress.org、2026-11-02 取得）

最新版	7.2.0 修正版を含む
対応 WordPress	2.0 以上（検証済み 7.1.4）
最終更新	2026-10-29 3:31am GMT
有効インストール	500+
リンク	WordPress.org のページ

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The PDF Invoice for WooCommerce + Drag and Drop Template Builder plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 7.1.1 via the ‘customer_note’ parameter parameter. This is due to insufficient sanitization of the customer_note checkout field, which is inlined verbatim into invoice HTML, entity-decoded back into a live tag by simplehtmldom, reassembled into raw bytes by mPDF, and passed to unserialize() in _getObjAttr without validation. This makes it possible for unauthenticated attackers to execute code on the server. An unauthenticated attacker can trigger the vulnerable code path on a default install by placing an anonymous WooCommerce checkout via the public Store API (POST /wc/store/v1/checkout) using a Direct Bank Transfer or cheque payment method, which automatically transitions the order to ‘on-hold’ status and fires the plugin’s invoice-generation hook.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/1bc3529c-6161-4b89-8a35-c3a9b7b8c308?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。