1,000万以上のサイトで使われているお問い合わせフォームのプラグイン「Contact Form 7」に、ログインしていない第三者がファイルをアップロードできてしまう脆弱性「CVE-2026-114432」が見つかりました。CISAの評価ではCVSS 3.1で9.8(Critical)とされています。修正版の6.2.4はすでに公開されているので、日本でも利用の多いこのプラグインを使っている方は、バージョンの確認をおすすめします。
何が問題なのか
セキュリティ企業Rescanaの解説によると、問題はフォームの「ファイル添付」欄にあります。
- アップロードされたファイルの種類・拡張子が正しくチェックされない
- 一時ファイルの後片付けに不備があり、ファイルがサーバー上に残ってしまうことがある
- 分類はCWE-434(危険な種類のファイルの無制限アップロード)
攻撃者がファイル添付欄のあるフォームを送信できれば悪用の入口になります。ファイル添付を使っていないフォームだけのサイトは、記事の説明からすると影響を受けにくいと考えられます。
どんな条件で「乗っ取り」につながるのか
記事によれば、サーバー上でプログラムを実行される(RCE)まで進むのは、DebianやUbuntuの標準的なApache構成で、ディレクトリ一覧表示が有効になっており、かつ.pharファイルがPHPとして処理される設定になっている場合です。nginxや、.htaccessで制限しているApacheでは、アップロード用フォルダへの任意のファイル書き込みにとどまるものの、HTMLやSVGとしてサイト上で表示されてしまう恐れがあると説明されています。
つまり「RCEにならない構成なら安全」というわけではありません。自分のサイトの名前で不正なページが表示されるだけでも、フィッシングなどに悪用されかねません。
影響を受けるバージョンと現状
- 影響: 6.2.4より前(記事中の表では「6.2〜6.2.3」と書かれており、記事内で範囲の表記が一致していません。6.1以前が対象外かどうかは記事では触れられていません)
- 修正版: 6.2.4(開発元の告知は2026年10月29日)。WordPress.orgでの最新版は現在6.2.4.1
- 攻撃状況: 記事の確認時点(11月9日)では、CISAの「悪用が確認された脆弱性」カタログには載っておらず、実際の攻撃は報告されていません
- 影響サイト数: 記事では示されていません(「1,000万以上」は導入数であり、影響数ではないと明記されています)
なお記事によると、WPScanでは11月19日に概念実証(PoC)が公開される予定とされています。公開後は攻撃が増えることも考えられるので、それまでに更新を済ませておきたいところです。最近は、WordPress 7.1.4で修正されたRCEが公開後24時間で約6.3万件の攻撃試行を受けたように、情報公開から攻撃までの間隔がとても短くなっています。
運営者がやっておきたいこと
- プラグインを6.2.4以降に更新する。 複数サイトを管理している場合は、全サイトで実際のバージョンを確認する
- 更新後、ファイル添付つきのフォームを実際に送信してテストする
- すぐ更新できない場合は、ディレクトリ一覧表示を無効にし、
wp-content/uploads内でのプログラム実行を禁止する(記事では「リスクを下げる措置であり、確実な回避策ではない」とされています) - ファイル添付欄が本当に必要か見直す。 不要なら外す、必要なら利用できる人を絞る
- 更新後、Contact Form 7のアップロード用フォルダに見覚えのないファイルが残っていないか確認する
更新前の注意:動作環境の要件
WordPress.orgのプラグインページでは、現行版の動作要件がPHP 8.3以上・WordPress 7.1以上となっています。レビュー欄には、6.2系のPHP 8.3要件でサイトが動かなくなったという声もあります。古いPHPのままのサーバーでは、先にPHPとWordPress本体の更新が必要になるかもしれません。更新前にバックアップを取り、サーバーのPHPバージョンを確認してから作業するのが安心です。
出典: Rescana「Contact Form 7 CVE-2026-114432: Unauthenticated File Upload Can Lead to RCE — Prepare Now」
