ログイン 無料で学ぶ

トップ › セキュリティニュース › CVE-2026-49775

重要度：警告公表：記事作成：

国内シェア上位のネットショッププラグイン「Welcart e-Commerce」に、ログインなしで操作されるおそれ（CVE-2026-49775）

ひとことで言うと：国内で広く使われているWordPress用ネットショッププラグイン「Welcart e-Commerce」の2.11.28以前のバージョンに、ログインせずに本来は制限された操作へ到達できてしまうおそれがある不具合が見つかりました。深刻度は「中程度」ですが、ログイン不要で影響を受けるため、使っている場合はバージョンの確認をおすすめします。いわば、ネットショップの会計カウンターの奥にある「スタッフ専用の通路」に入るための確認が甘く、お客さま（部外者）でもそのまま通り抜けられてしまう状態です。

何が起きたか

2026年6月、WordPress用ネットショッププラグイン「Welcart e-Commerce」（プラグインスラッグ：usc-e-shop）の2.11.28以前のバージョンに、「アクセス制御の不備（Broken Access Control）」と呼ばれる種類の不具合があることが公表されました。この不具合には「CVE-2026-49775」という管理番号がついています。

アクセス制御の不備とは、本来はログインした利用者や特定の権限を持つ利用者にしか許可されていないはずの操作・情報に、権限の確認が不十分なために、ログインしていない第三者でも到達できてしまう種類の不具合です。深刻さを表す点数（CVSS）は10点満点中6.5（中程度）で、脆弱性の種類は「CWE-862（アクセス制御の欠落）」に分類されています。公開されている情報では、具体的にどの機能・画面が影響を受けるかまでは明らかにされていません。ネットショップの会計カウンターの奥、本来は従業員証をかざさないと入れないはずの通路の確認が甘くなっていて、見た目は普通のお客さまでも、そのまま入ってしまえる状態をイメージすると分かりやすいでしょう。

Welcart e-Commerceは、WordPress公式プラグインディレクトリの説明によると「日本国内のシェアNo.1」をうたう無料のネットショップ構築プラグインで、有効インストール数は1万件以上とされています。開発元のデータベース株式会社（welcart.com）は、2026年6月3日公開のバージョン2.11.29で「セキュリティ強化：アクセス制御を改善しました」と告知しており、この対応がCVE-2026-49775の修正にあたると考えられます。

誰に関係するか

次の条件にすべて当てはまるサイトが対象です。

Welcart e-Commerceを使っていないサイトは対象外です。また、既に2.11.29以降に更新済みの場合もこの不具合の対象ではありません。自分のサイトがWelcartを使っているかどうかが分からない場合は、制作会社・管理会社に確認してもらいましょう。

何をすべきか

1. 管理会社に確認する

「Welcart e-Commerceを使っているか」「使っている場合、そのバージョンはいくつか」を、サイトを作った会社や管理会社に確認してもらいましょう。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も使えます。

2. 対象なら最新版へ更新する

バージョンが2.11.28以前だった場合は、最新版への更新を依頼してください。Welcart公式の更新履歴によると、2026年10月23日時点の最新版は2.12.6で、2.11.29以降であればこの不具合は修正されています。更新時は、バージョンアップに伴う表示崩れがないかも併せて確認してもらうと安心です。この更新は、言わば通路の入り口にきちんとした確認ゲートを取り付け直す作業にあたります。

3. ネットショップに限らず、使っているプラグイン全般を点検する

プラグインの管理を日頃からどのように行うべきかは、教材「プラグイン・テーマの安全な管理」で解説しています。

よくある質問

自分のサイトは影響を受けますか？

WordPressでネットショッププラグイン「Welcart e-Commerce」を使っていて、バージョンが2.11.28以前の場合に影響を受けるおそれがあります。Welcartを使っていないサイトは対象外です。使っているかどうか、バージョンがいくつかは制作会社・管理会社に確認してください。

具体的に何をされるおそれがあるのですか？

開発元や脆弱性データベースは「アクセス制御の不備」という不具合の種類は明らかにしていますが、具体的にどの機能・画面が影響を受けるかは公開されていません。ログインせずに、本来は制限されているはずの操作や情報に、一部の第三者が到達できてしまうおそれがあるというのが、現時点で分かっている範囲です。

何をすればいいですか？

Welcart e-Commerceを使っているか、バージョンが2.11.29より前かを管理会社に確認してもらい、対象であれば最新版への更新を依頼してください。

参考にした公開情報

この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。正確な修正版のバージョン番号など最新の詳細は、必ず開発元の公式情報でご確認ください。個別のサイトの安全を保証するものではありません。