WooCommerceの購入者に対してメールアドレスの認証（本人確認）を行うプラグイン「Customer Email Verification for WooCommerce」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.2.5 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、メール認証が未完了のアカウントを認証済みにし、設定によってはそのアカウントとしてログインして乗っ取るおそれがあります。
対策として、バージョン 3.2.6 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、メール認証用リンクからのアクセスを受け付け、認証を確定させる処理に存在します。影響を受けるのは、メール認証機能を有効にしているサイトです。
攻撃はこの認証確定用のURLへのアクセスを通じて行われ、ログインは不要（未認証の第三者でも成立）です。対象となるのは、メール認証をまだ済ませていない（認証用コードが発行済みの）アカウントで、認証完了後に自動でログインさせる設定（既定で有効）が有効な場合には、ログインによる乗っ取りにまで至ります。
想定される被害
悪用されると、正規の認証用コードを知らない第三者が、メール認証が未完了のアカウントを「認証済み」として確定させることができます。想定される具体例は次のとおりです。
- 認証待ちのアカウントが、本人の操作なしに認証済みにされる
- 認証完了後に自動でログインさせる設定（既定で有効）が有効な場合、攻撃者がその対象アカウントとしてログインした状態になる
- 対象が管理者など上位権限のアカウントであれば、そのアカウントの乗っ取りを通じてサイト全体に影響が及ぶ可能性がある
技術的な詳細
本脆弱性は、認証用リンクに含まれる値と、サーバーに保存された正規の認証用コードを照合する際の比較方法に不備があったことが原因です。仕組みは次のとおりです。
- 認証を確定させる処理は、URLに含まれる値を復元して「対象ユーザーの指定」と「認証用コード」を取り出す
- 取り出した認証用コードが、サーバー側に保存された正規のコードと一致するかを照合する
- この照合に値の種類（型）を区別しない緩い比較が使われていたため、認証用コードの代わりに種類の異なる値を紛れ込ませると、正規のコードと一致していなくても照合を通過できる状態だった
対策版では、（1）認証用コードが文字列であることを確認する、（2）値と種類の両方が完全に一致する厳密な比較に改める、という修正が行われています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.2.6 以降）へ更新してください。
- 被害確認
- Webサーバーのアクセスログで、メール認証を確定させるためのURL（クエリパラメータ
alg_wc_ev_verify_emailを含むリクエスト）に対する不審なアクセスが無いか確認してください。短時間に多数繰り返されている、あるいは異なるユーザーを次々に対象としているような不自然な送信は、悪用の痕跡を把握する手がかりになります。 - WordPress管理画面の「ユーザー」で、身に覚えのないログイン、パスワードやメールアドレス変更の通知、意図せず認証済みになっているアカウントが無いか確認してください。
- Webサーバーのアクセスログで、メール認証を確定させるためのURL（クエリパラメータ
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）は、本脆弱性を狙うリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
- 更新までの一時的な緩和策として、プラグイン設定の「認証完了後の自動ログイン」を無効にすると、ログインによる乗っ取りにつながりにくくなります（ただしアカウントが認証済みにされること自体は防げないため、更新を優先してください）。
⇒ 不審なログインや、管理者情報の身に覚えのない変更が確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Customer Email Verification for WooCommerce 3.2.5 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-14182 
（公開日 2026年8月13日 更新日 2026年8月13日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-14182 悪用確率 0.50% （上位57%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Customer Email Verification for WooCommerce プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
