WooCommerceの添付機能、版と設定を一緒に確認

どんな機能？ 名前を知らなくても、使っているかも。

WooCommerce（ウーコマース）は、WordPress（ワードプレス）にネットショップの機能を加える仕組みです。今回の対象は、その注文時・注文後にファイルを添付できるようにする、別のプラグイン（機能を足す部品）です。WordPress.orgの製品ページでは提供元がWP Wham、識別用のslug（スラッグ）がcheckout-files-upload-woocommerceと表示されています。

印刷用の原稿や、名入れの見本写真を注文に添える場面を考えてみてください。これは機能を理解するための架空例です。添付欄があるだけで当該製品を使っているとは限らず、同名の別製品やPremium版への影響も推測しません。管理者が製品名と提供元を確かめます。

何が起きるおそれがある？

CVE-2026-103688（シー・ブイ・イー、弱点を識別する番号）は、受け付けるファイルの種類を制限する設定が空欄だと、旧版が任意の種類を受け入れてしまう問題です。さらにアップロード領域でPHP（ピー・エイチ・ピー、サーバーで処理を動かす言語）を実行できる構成では、ログインしていない相手による不正な命令実行につながります。実行する権限等によっては、サイトの書き換え、情報流出、受注業務の停止につながるおそれがあります。

WPScanのCNA（シーエヌエー、脆弱性の登録機関）は対象と成立条件を説明していますが、同CNA欄にCVSSの点数はありません。一方、同じ公開CVE記録のCISA-ADP（シーサ・エーディーピー、公的機関による追加評価）は、CVSS3.1で9.8・Critical（クリティカル、重大）と評価しています。認証や利用者のクリックを要しない条件の評価であり、自社の被害確率ではありません。10月28日時点のCISA評価は悪用情報をnoneとし、今回照合したKEV（ケブ、既知悪用一覧）にも登録はありません。現在の無被害・攻撃不存在を証明するものではなく、実悪用は今回未確認です。

対象と、修正を分けて確認する。

影響するバージョン・条件

対象の版は2.4.0未満です。受理形式の設定（accepted file types）が空欄で、アップロード領域からPHPを実行できるサーバーの条件が重なる場合、上記の命令実行へ至ります。設定とサーバーの条件は保守担当者が確認します。条件が不明なまま安全と判断せず、全WordPress・全WooCommerceや、PHP本体の別の問題へ対象を広げないでください。

修正版・更新先

WPScanが示す修正版は2.4.0。提供元の変更履歴では2026年10月20日の版です。確認時の製品ページも2.4.0を表示していますが、適用時には後続の修正と互換性を改めて照合します。2.4.0では、受理形式の空欄が「全種類を許可」ではなくWordPressの許可する種類を受け入れる意味に変わります。業務に必要な種類を保守担当と絞り、添付や注文が正常に進むか検証してください。

あわせて知っておきたいこと

受理形式を確認しただけで、修正反映や過去の侵害調査まで終わったとは扱いません。添付機能を制限・停止する必要があるか、代替の受け付け方を設けるかは、接続範囲・注文への影響を含めて担当者と責任者が判断します。製品固有の停止時間・工数・再起動条件は今回の資料から確定していません。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   製品・版・二つの条件を、担当者に確認する

   正確な製品名・slug・提供元、実際に動く版、受理形式の空欄とアップロード領域のPHP実行可否を照合します。経営者が危険なファイルを送って試したり、サーバー設定を自己判断で変えたりする必要はありません。

2. 02

   注文と添付の記録を守り、変更計画を決める

   一般的な準備として、注文データ・添付ファイル・設定・ログ（動作の記録）の保管範囲と復元方法を確認します。不審な動きがある場合は、更新前の記録保全と調査を専門担当へ相談。調査のために不審な添付を開かず、削除・初期化も独断で行いません。

3. 03

   本番とは別の環境で、添付と注文を一緒に試す

   修正を含む互換版と必要なファイル種類を決めます。個人情報を使わないテストで、許可する通常ファイルの添付、許可しない種類の拒否、注文完了、添付の参照・通知を確認します。テストが実注文・実決済・実通知を送らないよう、専門担当が環境を分けてください。

4. 04

   停止・再開・戻し方をそろえてから反映する

   停止の要否・予定時間、工数・費用、担当と再開条件を先に合意します。更新後は稼働版・設定と主要操作を確認。復旧時は変更中に入った注文と添付の対応も照合し、脆弱な旧版へ戻すだけを安全な復旧とは扱いません。未確認点と次の担当を記録します。

保守会社に、このまま聞けます。

【ネットショップの添付プラグインの確認依頼】 CVE-2026-103688について、当店でCheckout Files Upload for WooCommerce（WP Wham／checkout-files-upload-woocommerce）を使用しているか確認してください。 1. 正確な製品名・提供元・稼働版と、2.4.0未満の対象か 2. 受理形式の空欄と、アップロード領域のPHP実行可否 3. 修正を含む互換版と、業務で許可するファイル種類 4. 注文データ・添付・設定・ログの保管と復元、不審な場合の記録保全・調査担当 5. 別環境での添付・拒否・注文完了・参照・通知テスト 6. 停止や代替受付の要否、予定時間・工数・費用、再開条件と戻し方 7. 適用記録、未完了事項と次回の確認日 ※パスワード・顧客の注文情報・実際の添付ファイルは、一般の相談フォームへ送らないでください。

停止時間・費用・戻し方まで含む確認文をコピーする →