WordPress用プラグイン「Elementor Pro」に存在する、パッチ適用済みの重大な脆弱性(CVE-2026-32475)が攻撃に悪用されており、Webシェルのペイロードを送り込んでサーバー上で任意のコマンドを実行される被害が発生しています。
Elementor Proは、ドラッグ&ドロップ形式のインターフェースでWebサイトを構築できる、600万件以上のアクティブインストールを誇る人気のWordPressプラグインです。
CVE-2026-32475の脆弱性は8月19日にパッチが適用されました。それ以降、Defiant社のWordfence Webアプリケーションファイアウォールは、同社の顧客を狙った悪用試行を約20万件ブロックしています。
この問題は、Elementor Proのフォームにおけるファイルアップロード配列の検証不備に起因するもので、バージョン4.2.1以前に存在します。
攻撃者は、配列の最初の要素として空のファイルを、2番目の要素として悪意のあるPHPファイルを送信することで、プラグインにそれ以降のファイルの検証を停止させることができます。
アップロードされたペイロードは/wp-content/uploads/elementor/forms/以下に保存され、その後アクセスすることでリモートからコマンドを実行できるようになります。
WordPress専門のセキュリティ企業であるPatchstackは先月、警告を発していました。それによると、攻撃者はこの脆弱性を悪用して任意のPHPファイルをアップロードし、サーバー上でPHPコードの実行を引き起こす可能性があるとのことです。
この脆弱性の悪用が可能になるのは、サイトに公開済みのElementor Proフォームウィジェットがあり、かつファイルアップロードフィールドが少なくとも1つ含まれている場合のみですが、これはよくある設定です。
Wordfenceは昨日、CVE-2026-32475を悪用する活動が8月19日から始まっていたと警告しました。奇しくもこの日は、Elementorが同脆弱性に対処したバージョン4.2.2をリリースした日でもあります。
「攻撃者はフォームのファイルアップロードフィールドを配列として送信します。この配列は、最初の要素が空で、2番目の要素に.php拡張子のファイル名を持つPHPペイロードが含まれる構造になっており、これが検証バイパスを引き起こす構造です」とWordfenceは説明しています。
「アップロードされたPHPファイルは、書き込まれると/wp-content/uploads/elementor/forms/ディレクトリ内に、攻撃者が指定した.php拡張子を持つランダム生成のファイル名で配置されます。攻撃者はこのファイルに直接リクエストを送ることで、サーバー上で任意のコマンドを実行できます」と同社は指摘しています。
Wordfenceは8月19日から23日にかけて攻撃活動の増加を観測しており、19万件以上の悪用試行をブロックしたと報告しています。
防御側がブロックリストに追加できるよう、数千件の攻撃を仕掛けたIPアドレスの一覧も提供されています。
管理者は直ちにElementor Pro 4.2.2以降にアップグレードし、/wp-content/uploads/elementor/forms/ディレクトリ内に不正なPHPファイルがないか確認する必要があります。
このディレクトリはアップロードされたフォーム送信内容を保存する場所であるため、PHPファイルの存在は侵害の強力な兆候であり、これを発見した場合はクリーンアップ作業を実施する必要があります。
