s2Member プラグインでメールテンプレート経由のRCE（260927以下）

Critical（CVSS 9.8）に分類されるWP Sharks s2Member（WordPress 会員制プラグイン）260927 以下の脆弱性です。**WordPress の会員制サイト構築プラグイン s2Member の 260927 以下で、item_name パラメータを経由してサーバ上でコードを実行できる。** NVD に載った Wordfence（CNA）の記述によれば、PHP タグを除去する strip_php_tags_deep() が文字どおりの「<?」しか取り除かず、さらに値をメールテンプレートへ埋め込んだ後のプレースホルダ整理で有効な「<?php」の開始タグが組み上がってしまう。参照先のコードは PayPal の通知処理（paypal-notify-in 系）である。 **前提条件と評価値。** NVD の記述では攻撃者は「custom レベル以上の権限で認証済み」とされる一方、Wordfence の CVSS 3.1 は **9.8 Critical**（PR:N＝認証不要）で、記述とベクトルが食い違っている。どちらが正しいかは公式で要確認。NVD の分析状況は Deferred。 **修正状況。** WordPress.org の配布ページでは最新版が 261017（2026-10-17 更新）で、260927 より後に 261001・261011・261017 が出ている。NVD の参照先には修正の変更セット（changeset 3722434）が挙がっているが、どの版で初めて直ったかは配布ページの変更履歴から特定できなかった。2026-11-03 時点で実際の悪用の報告は確認できず、CISA KEV にも未収載。

**s2Member を最新版（2026-11-03 時点で 261017）へ更新する。** 修正を含む最初の版の番号は公式で要確認だが、影響範囲は 260927 以下なので、それより新しい最新版に上げれば対象から外れる。 - 管理画面の「プラグイン」で版を確認し、260927 以下なら更新する（WP-CLI なら `wp plugin update s2member`） - s2Member Pro を併用している場合は、Pro 側も対応する版へ上げる（配布ページは古い Pro に警告を出す変更を入れている） - PayPal 連携を使っているサイトは、更新前の通知処理で送られたメールや wp-content 配下に不審な PHP ファイルが無いかを確認する **完了条件**は、（1）全サイトの s2Member が 260927 より新しい版であることを確認した、（2）更新前の不審なファイルの有無を確認した、の2点である。

WP Sharks s2Member（WordPress 会員制プラグイン）260927 以下 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-86596）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。