WordPressプラグイン「Customer Email Verification for WooCommerce」に認証バイパスの脆弱性（CVE-2026-

CVSS 4.8 MEDIUM 未ログインで悪用可能

対象	プラグイン Customer Email Verification for WooCommerce （Customer Email Verification for WooCommerce – OTP Verification, Block Fake Signups）有効インストール約 2,000 件
影響バージョン	2.8.2 以下
修正版	2.8.3
CVE	CVE-2026-109236
種類	認証バイパス（Improper Authentication）
悪用される確率（EPSS）	0.34%（全脆弱性の上位 72%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

バージョン2.8.2以前では、メール認証用のトークンが推測可能なため、ログインしていない第三者が任意のメールアドレスで認証済み顧客としてログインしたり、既存アカウントを認証済み扱いにしたりできる恐れがあります。プラグインの中核機能であるメール認証が無効化されます。

想定される被害と条件

第三者が任意のメールアドレスで認証済みのWooCommerce顧客アカウントを作成し、ログインできる
既存アカウントのメール認証状態が勝手に「認証済み」に変更され、偽登録対策が無効になる
偽アカウントによる不正注文・スパム登録・クーポンの不正利用などが起こり得る
悪用は旧バージョンから更新してきたサイト（ログ用テーブルに旧仕様の列が残っている場合）で成立し、2.8.2を新規インストールしたサイトでは成立しにくい
攻撃の成立条件はやや難しい（CVSS 4.8 Medium）が、ログイン不要で狙われる

今日やること

Customer Email Verification for WooCommerce を 2.8.3 以上に更新し、未修正のままなら一時停止・削除を検討してください。

すぐに更新できない場合

すぐ更新できない場合はプラグインを一時的に無効化し、WAF（Wordfence等）のルールを最新にしてください。無効化中は新規会員登録を一時停止することも検討してください。

更新後に確認すること

管理画面「ユーザー」で、心当たりのない顧客アカウントや短期間に大量作成されたアカウントがないか確認する
WooCommerce「注文」で、不審なアカウントからの注文やクーポン利用がないか確認する
メール認証済みになっているが実際には認証メールの操作履歴がない顧客がいないか、プラグインのログやユーザー情報で確認する
不審なアカウントがあれば削除または停止し、管理者パスワードの変更も検討する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Customer Email Verification for WooCommerce の現在の情報（WordPress.org、2026-11-02 取得）

最新版	2.8.4 修正版を含む
対応 WordPress	5.3 以上（検証済み 7.1.4）
最終更新	2026-10-29 5:38am GMT
有効インストール	2,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Customer Email Verification for WooCommerce plugin for WordPress is vulnerable to Authentication Bypass via a Predictable Email-Verification Token in all versions up to, and including, 2.8.2. This is due to the `authenticate_user_by_email_link()` function — hooked on the `wp` action and triggered by the `cusomer_email_verify` GET parameter — lacking any capability check or nonce verification, while the `secret_code` it validates is generated as `md5(email . time())` and the `verify_otp_nonce` required to trigger token issuance via the `wp_ajax_nopriv_resend_otp` handler is emitted to every front-end visitor through `wp_localize_script`. This makes it possible for unauthenticated attackers to log in as a newly created, verified WooCommerce customer bound to an arbitrary email address — or to flip an existing account’s `customer_email_verified` meta to verified — fully bypassing the plugin’s core email-verification control. Exploitation requires the `cev_user_log` table to contain a `password` column, which is absent from the fresh-install schema shipped in version 2.8.2 but is present on sites upgraded from an older version where that column was defined.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/a2e9fa74-5501-4429-a500-1d4199571a34?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。