WordPressプラグイン「Elementor Pro」に存在する深刻な脆弱性により、攻撃者が実行可能ファイルをアップロードし、サーバー上でリモートコード実行(RCE)を行える可能性があることが分かりました。
CVE-2026-32475として識別されたこの欠陥は、Elementor Proのバージョン4.2.2より前に影響を及ぼします。原因はファイルアップロードモジュールにあり、ファイル検証と処理にそれぞれ別のループを使用しているため、空のファイル名でアップロードされた場合の扱いに食い違いが生じます。
WordPressエコシステムに特化したセキュリティ企業Patchstackのレポートは次のように説明しています。「問題は、この2つのループが空のファイルエントリ(ファイル名が空欄のアップロードパートで、PHPはこれをUPLOAD_ERR_NO_FILEとして報告します)の扱いについて一致していない点にあります」。
「検証用ループと処理用ループでは、こうした空のエントリに対する早期終了ロジックが異なります。そのため、入念に細工されたマルチパートアップロードは、バリデーター(検証側)とムーバー(処理側)でそれぞれ異なる形で認識されてしまうのです」
攻撃者はこの挙動を悪用し、最初のエントリのファイル名を空にし、続けて悪意あるPHPペイロードを配置したマルチパートアップロードを作成することで攻撃を仕掛けられます。
これにより、検証ルーチンは最初のパートを調べた時点で処理を終了し、UPLOAD_ERR_NO_FILEエラーとしてこれを却下してしまい、2番目のパートは一切チェックされません。一方、処理ステップでは空のエントリはスキップされるものの、アップロード全体の残りが処理され、2番目のパートに含まれるPHPが公開ディレクトリ(wp-content/uploads/elementor/forms/)に移動されてしまいます。
Elementor Proは、WordPress向けの非常に人気の高いドラッグ&ドロップ式ウェブサイトビルダー「Elementor」の有料版で、1,000万件を超えるアクティブインストールを誇ります。
Pro版では、フォーム作成、テーマ・ポップアップビルダー、カスタムコードやCSS、eコマースツールといった高度な機能が追加されており、一般的により高度なプラットフォームで利用されています。
Patchstackによると、CVE-2026-32475を悪用するには、標的サイトにファイルアップロードフィールドを含む公開済みのElementorフォームが存在するだけで十分だとされています。
研究者らによれば、悪意あるPHPをアップロードした後、攻撃者は公開ディレクトリ内でのそのファイル名を特定できるといいます。というのも、ファイル名はuniqid()関数を使って生成されており、これはランダムではなく時刻に基づいているためです。
攻撃者はタイミングを利用したブルートフォース手法によってペイロードの名前を割り出せる可能性があります。また設定によっては、自動返信メールを通じて正確なURLを入手できる場合もあります。
攻撃者がそのURLへアップロード済みファイルをリクエストすると、サーバーのPHPインタープリタがその内容を実行してしまい、Webサーバーの権限で任意のコードを実行できるようになります。
Patchstackは7月16日、この脆弱性を発見した研究者Tin Pham氏からCVE-2026-32475について報告を受け、その情報をElementorチームと共有しました。
翌日、プラグイン開発元は修正版を用意し、Patchstackが8月3日にこれを検証、そして昨日リリースされました。
Elementorも購読者に対してこの脆弱性について通知しており、リスクにさらされるのは「アップロードファイル用のフォームフィールドを含むElementor Proフォームを使用しており、かつ複数ファイルアップロードオプションが有効になっている(デフォルトでは無効)ウェブサイトのみ」であると述べています。
「それ以外のElementorサイトはすべて影響を受けませんが、セキュリティおよび互換性の問題が生じる可能性を減らすため、すべてのサイトで最新バージョンへの更新を推奨します」と同社は述べています。
管理者は最新のElementor Proリリースに更新した上で、「wp-content/uploads/elementor/forms/」ディレクトリ内にPHPファイルやその他の不審なファイルが存在しないか確認する必要があります。
Patchstackは、更新を行っても脆弱性が存在した期間中にアップロードされた悪意あるファイルは削除されないと指摘しており、入念な調査を推奨しています。
現時点で、実際の悪用事例は確認されていません。
攻撃者が有効な認証情報を入手した後、そのアクションのうちブロックされるのはわずか37%
全体の防御スコアだけでは、初期アクセス後に何が起きているかが見えなくなってしまいます。攻撃者が有効な認証情報を使い始めた時点で、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、防御策を手法ごとに測定しています。
