WooCommerceの商品情報をGoogleショッピングなど各種販売チャネル向けのフィード（商品データファイル）として出力するプラグイン「CTX Feed（Product Feed Manager for WooCommerce）」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 8.0.26 までのすべてのバージョンです。
本脆弱性を悪用された場合、ショップマネージャー以上の権限を持つログイン済みユーザーに、サーバー上で任意のPHPコードを実行される可能性があります。
対策として、バージョン 8.0.27 以降への更新を推奨します。
脆弱性詳細
問題の箇所は、フィードの出力形式のひとつ「Custom Template 2（XML）」で、利用者が自由に記述できるテンプレート（出力内容のひな形）を処理する部分です。
攻撃にはショップマネージャー以上の権限でのログインが必要で、ログインしていない第三者や、購読者・寄稿者などの権限では悪用できません。
ショップマネージャーは本来、商品や注文の管理はできても、プラグインの編集やサーバー上のファイル操作はできない権限です。本脆弱性では、その制限を超えてサイト全体を掌握できる状態になっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- サーバー上で、攻撃者が用意したPHPコードが実行される
管理者アカウントの作成、サイト内ファイルの改ざんや不正なファイル（バックドア）の設置、データベース内の情報の読み取りなど、サイト全体の乗っ取りにつながるおそれがあります。 - 仕込まれたコードが、フィードの自動更新のたびに繰り返し実行される
フィードは定期的に自動生成されるため、攻撃者がその後操作しなくても実行が続きます。
被害発生の条件
- 攻撃者がショップマネージャー以上の権限でサイトにログインできること
- 特別な設定変更は不要。プラグインを導入した初期状態のまま悪用できます
技術的な詳細
原因
Custom Template 2 のテンプレートには、商品ごとに計算した値を埋め込むための「式」を記述できます。問題は、この式の扱いにあります。
- 保存時：WordPressが自動付与するエスケープ記号を外すだけで、内容の検査や無害化をせずそのまま保存
- 生成時：保存された式を、文字列をそのままプログラムとして実行するPHPの関数へ渡して実行
- 初期設定：式の実行は設定で止められるが、初期状態は「オン」のため、導入直後から実行可能
- 保護の範囲：例外処理などの保護は出力値を整えるためのもので、実行中のファイル操作やコマンド実行は止めない
対策版での修正
- 無料版から Custom Template 2 の処理そのものを削除。この形式のフィードは、有料版（CTX Feed Pro 8.0.17 以降）が有効な場合にのみ生成されます。
- 無料版のコード内に、文字列をプログラムとして実行する処理は残っていません。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（8.0.27 以降）へ更新してください。
- Custom Template 2（Admarkt、Yandex XML、Glami 向けテンプレートを含む）を利用中の場合、更新後は CTX Feed Pro 8.0.17 以降が必要です。Pro をご利用の方は、あわせて更新してください。
- 被害確認
- WordPress管理画面の「CTX Feed」→「Manage Feeds」を開き、身に覚えのないフィードがないか確認してください。
- 出力形式に Custom Template 2 系（Custom Template 2 / Admarkt / Yandex / Glami）を使うフィードがあれば、編集画面でテンプレート本文に「{(return」で始まる記述がないか確認してください。ご自身で記述した覚えのないものは、攻撃に使われた可能性があります。
- 「ユーザー」メニューで権限を「ショップマネージャー」「管理者」に絞り込み、身に覚えのないアカウントや、作成日の新しい不審なアカウントがないか確認してください。
- 不審な記述やアカウントが見つかった場合は、サイト内に見覚えのないファイルが置かれていないかの点検も必要です。
- セキュリティ対策の強化（任意）
- ショップマネージャー権限は、外部委託先やスタッフに付与されることの多い権限です。付与しているアカウントを棚卸しし、不要なアカウントの削除、パスワードの見直し、二要素認証の導入を検討してください。
⇒ 不審なフィードやアカウント、見覚えのないファイルが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
CTX Feed（Product Feed Manager for WooCommerce） 8.0.26 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-87964 
（公開日 2026年11月6日 更新日 2026年11月8日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.2 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-87964 悪用確率 0.95% （上位39%） 2026年11月8日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
CTX Feed プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
