Ninja Forms と WPC Product Bundles for WooCommerce の XSS 脆弱性が FIX：不正な管理者アカウント

Ninja Forms plugin flaw exploited to hack WordPress sites

2026/10/06 BleepingComputer — WordPress プラグインである Ninja Forms と WPC Product Bundles for WooCommerce に存在する、2 種類の蓄積型クロスサイト・スクリプティング (XSS) の脆弱性を悪用し、ハッカーがバックドアを設置し、不正な管理者アカウントを作成している。Ninja Forms 3.15.3 以前に影響する脆弱性 CVE-2026-94504 と、WPC Product Bundles for WooCommerce 8.6.6 以前に影響する脆弱性 CVE-2026-93836 は、いずれも深刻度が高いが、悪用には認証済みセッションが必要である。

WordPress 用プラグイン Ninja Forms は 50 万以上のサイトにインストールされており、コード記述を必要としないカスタム・フォーム作成を提供する。

WPC Product Bundles for WooCommerce は、複数の商品をまとめてバンドルとして保存できるプラグインであり、3 万以上の WordPress サイトで利用されている。

10月4日の時点で WPC Product Bundles for WooCommerce ユーザーを標的とする攻撃活動を特定したのは、WordPress セキュリティ・プラットフォーム Patchstack の研究者であり、その翌日には Ninja Forms に対しても同じ活動が確認されている。

いずれの攻撃でも、同じ JavaScript ペイロードが “imgcdn1[.]com” から配信されており、2 つのプラグインに対する悪用の試みには、同一の攻撃者が関与していることが示されている。

攻撃者が試みているのは、WooCommerce の注文データと Ninja Forms の送信データに対する、悪意の JavaScript (x.js) の埋め込みであると研究者は述べている。ログイン済みの管理者が、侵害されたコンテンツを読み込むと、認証済みの WordPress セッションを利用したスクリプト実行へと至る。

スクリプトが実行されると、必要な管理用 nonce が取得され、WordPress の正規の関数を利用して MediaPress Labs の WP Smart Thumbnails バージョン 1.2.4 を装う悪意のプラグインがインストールされ、管理者アカウントが作成される。

この段階で、JavaScript ペイロード／悪意のプラグインに含まれる PHP スクリプトは、侵害したサイトに対する 4 つのアクセス手段を確立する。

  1. 表示される管理者アカウント。
  2. WordPress ダッシュボードのユーザー一覧から隠された管理者アカウント。
  3. サイトに存在する最古の管理者として認証できる秘密のログイン URL。
  4. 悪意のプラグインのメイン PHP ファイルへのリクエストによりアクセスできる、未認証のファイルマネージャ。

このファイルマネージャによるコマンド実行は不可能だが、サイトに対して追加のペイロードを持ち込むために悪用され得る。

注意したいのは、感染した Web サイトから WP Smart Thumbnails プラグインを削除しても、隠されたアカウント／秘密のログイン URL は引き続き永続化の手段として機能する点である。これらは、別の補助的な攻撃用プラグインを介して維持されており、そのプラグインは検知を回避するために、過去の日付に偽装したタイムスタンプを設定している。

Patchstack は、「隠されたアカウントは Users → All Users に表示されず、Administrator フィルタにも表示されず、一覧上部の合計数にもカウントされない。したがって、サイト所有者からの検知は不可能だが、完全な権限を持つ管理者である」と付け加えている。

Patchstack は、現時点での悪用は限定的だと述べている。サイト管理者に推奨されるのは、影響を受けるプラグインを最新バージョンへとアップグレードすることである。それぞれの修正版は、WPC Product Bundles for WooCommerce 8.6.7 以降／Ninja Forms 3.15.4 以降である。

脆弱なプラグインに対してアップデートを実施すれば、それ以降の悪用は防止できるが、すでに存在する感染を除去することはできない。管理者に強く推奨されるのは、侵害の兆候の有無を確認することである。

WordPress プラグインの Ninja Forms および WPC Product Bundles for WooCommerce における、蓄積型 XSS の脆弱性を悪用した攻撃事例について解説する記事です。入力処理の不備に伴い、悪意のスクリプト注入／バックドアの配置／隠蔽された管理者アカウントの作成／サイト管理権限の奪取といった被害が生じるおそれがあります。なお、対象となる CVE は CVE-2026-94504／CVE-2026-93836 です。対応策として修正済みバージョンへの更新／侵害の痕跡調査が求められます。