重要度：緊急公表：2026年6月5日記事作成：2026年10月25日

WooCommerce連携プラグイン「Hippoo」に緊急の脆弱性、ログインなしで管理者になりすませるおそれ（CVE-2026-10580）

ひとことで言うと：ネットショップ機能「WooCommerce」と連携するスマホアプリ用プラグイン「Hippoo Mobile App for WooCommerce」に、ログインなしで管理者のパスワードを勝手に変更され、サイトを乗っ取られるおそれがある緊急の不具合（CVE-2026-10580）が見つかりました。対象はこのプラグインを導入しているサイトに限られますが、該当する場合は影響が非常に大きい内容です。スマホアプリから店の鍵（パスワード）を遠隔で再発行できる仕組みの設定に誤りがあり、店長本人かどうかの確認をせずに、誰でもその場で新しい鍵を発行できてしまう状態だったとイメージすると分かりやすいでしょう。

何が起きたか

「Hippoo Mobile App for WooCommerce」は、WordPress上のネットショップ機能「WooCommerce」を、スマートフォンアプリから操作できるようにする連携プラグインです。セキュリティ企業Wordfenceの脆弱性データベースによると、このプラグインが追加するAPI（/wc-hippoo/v1/ext/ 以下の通信経路）に、本来は管理者だけに許可されるはずの操作を、ログインなしの第三者でも実行できてしまう不具合（CVE-2026-10580）がありました。

Wordfenceの技術解説では、プラグイン内部で権限を判定する処理が、管理者と未ログインの訪問者を同じ値として扱ってしまう作りになっており、その値を使った後続のチェックが機能していなかったと説明されています。この結果、ログインなしの攻撃者が、管理者を含む任意の利用者のパスワードを勝手にリセットできる状態になっていました。パスワードをリセットされてしまえば、攻撃者がそのアカウントとしてログインし、サイト全体を管理者権限で操作できてしまいます。Wordfenceはこの不具合をCVSS 9.8（緊急）と評価し、2026年6月5日に公開しています。たとえるなら、スマホアプリで鍵の再発行を申請する受付窓口が、「店長が来たとき」と「通りすがりの誰かが来たとき」を同じ扱いにしてしまっていて、確認のはずのチェックが実質ノーチェックになっていた、という状態です。店の鍵（アカウント）を乗っ取られれば、店全体（サイト全体）が自由に操作されてしまいます。

なお、この不具合が修正された直後のバージョン（1.9.5）にも、権限確認が一部不足する別の不具合（CVE-2026-49065、深刻度は中程度）が見つかっており、開発元はさらに後継のバージョン（1.9.6以降）での対応を案内しています。

誰に関係するか

WordPress＋WooCommerceでネットショップを運営していて、「Hippoo Mobile App for WooCommerce」を導入している方

WooCommerce本体の不具合ではなく、追加で導入する連携プラグイン固有の問題です。このプラグインを使っていない場合、今回の不具合の対象にはなりません。まずプラグイン一覧に該当プラグインがあるかどうかを確認することが最初のステップです。

何をすべきか

1. プラグインを導入しているか確認する

WordPress管理画面の「プラグイン」一覧に「Hippoo Mobile App for WooCommerce」があるかを確認してください。なければ対象外です。

2. 導入している場合は、今すぐ1.9.6以降に更新する

1.9.4以前はCVE-2026-10580の、1.9.5は別の不具合（CVE-2026-49065）の対象です。両方を解消する1.9.6以降に更新してください。

3. 不審なログイン・パスワード変更履歴がないか確認する

すでに悪用されていた可能性に備え、管理者アカウントのパスワードが身に覚えのないタイミングで変更されていないか、ログイン履歴を確認することをおすすめします。判断がつかない場合は管理会社に相談してください。鍵（パスワード）の再発行窓口そのものを修正版で直すのと同時に、すでに勝手に鍵を再発行された形跡がないかを点検する、という2つの対応が必要です。

よくある質問

WooCommerceを使っていれば必ず対象になりますか？

いいえ。この不具合はWooCommerce本体ではなく、「Hippoo Mobile App for WooCommerce」という連携プラグインを追加で導入している場合に限られます。WooCommerceだけを使っていて、このプラグインを入れていない場合は対象外です。

どのバージョンが対象ですか？

1.9.4以前のバージョンが対象です。開発元は修正版を公開していますが、その後1.9.5にも別の不具合（CVE-2026-49065、深刻度は中程度）が見つかっているため、1.9.6以降への更新が推奨されています。

何をすればいいですか？

まずプラグイン一覧にHippoo Mobile App for WooCommerceが入っているか確認し、入っていれば1.9.6以降に更新してください。使っていないなら影響はありません。

参考にした公開情報

この不具合の対象は、ネットショップ機能「WooCommerce」に加えて「Hippoo Mobile App for WooCommerce」という特定の連携プラグインを導入しているサイトに限られます。導入していないサイトへの影響はありません。この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。