Hikosachi 開発チームです。
今回は、フォーム作成プラグイン「Ninja Forms」とWooCommerce向け拡張プラグイン「WPC Product Bundles for WooCommerce」を狙った、管理者権限の乗っ取りにつながる蓄積型XSS（クロスサイトスクリプティング）攻撃についてお伝えします。
セキュリティ企業Patchstackが実際の悪用を観測しており、両プラグインを合わせると50万件を超えるサイトが対象となるため、該当プラグインをお使いの場合はご確認ください。
今回のポイント
- Ninja Forms（3.15.3以前）とWPC Product Bundles for WooCommerce（8.6.6以前）に、それぞれ蓄積型XSSの脆弱性（CVE-2026-94504／CVE-2026-93836、CVSSスコアはいずれも7.1）が見つかった。
- セキュリティ企業Patchstackは、2026年10月4日にWPC Product Bundles、翌10月5日にNinja Formsへの攻撃をテレメトリ上で検知し、10月6日に詳細を公開した。
- 攻撃者はフォーム送信や注文データに悪意のあるスクリプトを混入させ、管理者がその内容を閲覧した際に管理者権限で実行させる。偽プラグインの導入や隠し管理者アカウントの作成など複数の手段で持続化（バックドア化）するため、プラグインの更新だけでは駆除が完了しない点に注意が必要。
1. Ninja Forms「CVE-2026-94504」／WPC Product Bundles for WooCommerce「CVE-2026-93836」の蓄積型XSS
フォーム作成プラグイン「Ninja Forms」（インストール数50万件以上）のバージョン3.15.3以前と、WooCommerce向け拡張プラグイン「WPC Product Bundles for WooCommerce」（インストール数3万件以上）のバージョン8.6.6以前に、それぞれ蓄積型XSSの脆弱性が見つかりました。
問い合わせフォームの入力内容やWooCommerceの注文情報に悪意のあるJavaScriptを混入させることができ、この時点では攻撃者側の認証は不要です。管理者が管理画面でその内容を閲覧すると、管理者本人のログイン状態（セッション）を使ってスクリプトが実行されてしまいます。
セキュリティ企業Patchstackのテレメトリでは、2026年10月4日にWPC Product Bundles、翌日の10月5日にNinja Formsを経由した同一の攻撃パターンが検知されました。
現時点で観測されている攻撃元は少数（大半がTor出口ノード）で、Patchstack自身も規模は限定的と評価していますが、両プラグインの合計インストール数の多さを踏まえ、注意を呼びかけています。
実行されたスクリプトは管理者の認証情報（nonce）を取得し、WordPress標準の機能を悪用して「WP Smart Thumbnails」という偽のプラグイン（バージョン1.2.4）を自動インストールします。
このプラグインが本体のバックドアとなり、さらに隠し管理者アカウントの作成・秘密のログインURLの設置・タイムスタンプを偽装した補助プラグインの設置など、複数の手段で持続化を図ります。
このため、脆弱性を修正しただけ、あるいは偽プラグインを削除しただけでは、バックドアが完全に取り除かれない可能性があります。
対応策
Ninja Formsをバージョン3.15.4以降、WPC Product Bundles for WooCommerceをバージョン8.6.7以降へ至急更新してください。
更新に加えて、(1) 見覚えのない管理者アカウントがいないか、(2)「WP Smart Thumbnails」など見覚えのないプラグインが入っていないか、(3) wp-content配下に不審なファイルがないか、を必ず確認してください。
心当たりがある場合は、管理者パスワードおよびwp-config.phpの認証用ソルト（AUTH_KEY等）の再発行も検討してください。
まとめ
Ninja FormsやWPC Product Bundles for WooCommerceをお使いの場合は、まずバージョンの確認と更新を優先してください。フォームや注文機能のように外部からの入力を受け付けるプラグインは、こうした蓄積型XSSの温床になりやすいため、日頃からプラグインの更新状況を確認する習慣をおすすめします。
サイトの挙動に不安がある場合や、ご自身での調査・対応が難しい場合は、アイネクシオ合同会社までお気軽にご相談ください。
