WooCommerce 用 PDF Invoice プラグインで未認証RCE（7.1.1以下・7.2.0で修正）

Critical（CVSS 9.8）に分類されるadd-ons.org PDF Invoice for WooCommerce + Drag and Drop Template Builder（WordPress プラグイン）7.1.1 以下の脆弱性です。**WordPress の WooCommerce 向け請求書 PDF 生成プラグイン「PDF Invoice for WooCommerce + Drag and Drop Template Builder」の 7.1.1 以下で、未認証の攻撃者がサーバ上でコードを実行できる（PHP オブジェクトインジェクション）。** NVD に載った Wordfence（CNA）の記述によれば、注文時の備考欄（customer_note）の値が請求書 HTML にそのまま埋め込まれ、simplehtmldom と mPDF の処理を経て `_getObjAttr` 内の unserialize() に検証なしで渡る。 **前提条件。** 既定のインストールでも、公開の Store API（POST /wc/store/v1/checkout）から銀行振込や小切手払いで匿名注文を入れるだけで注文が「保留」になり、プラグインの請求書生成が動いて攻撃経路に到達する、と NVD の記述は説明している。 **評価値と修正。** CVSS 3.1 は **9.8 Critical**（ネットワーク経由・認証不要）。NVD の分析状況は Deferred。WordPress.org のプラグイン配布ページでは 7.2.0（2026-10-29 更新）の変更履歴が「Fixed: Security」となっており、NVD の参照先にも 7.2.0 の配布物が挙がっている。2026-11-03 時点で実際の悪用の報告は確認できず、CISA KEV にも未収載。

**プラグインを 7.2.0 以降へ更新する。** 更新できるまでは、プラグインを無効化するか、請求書の自動生成を止める。 - 管理画面の「プラグイン」で版を確認し、7.1.1 以下なら更新する（WP-CLI なら `wp plugin update pdf-for-woocommerce`） - 銀行振込・小切手払いを有効にしているストアは、匿名の注文だけで攻撃経路に届くため優先度が高い - 更新前に不審な注文（備考欄に HTML や長い記号列が入っている注文）が無いか、wp-content 配下に見覚えのない PHP ファイルが無いかを確認する **完了条件**は、（1）全サイトのプラグインが 7.2.0 以降であることを確認した、（2）更新前の不審な注文・ファイルの有無を確認した、の2点である。

add-ons.org PDF Invoice for WooCommerce + Drag and Drop Template Builder（WordPress プラグイン）7.1.1 以下 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-109220）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。