Super Formsの重大なWordPress脆弱性、リモートコード実行に悪用される攻撃が進行中

脅威アクターが、Super Forms WordPressプラグインの重大な脆弱性を積極的に悪用し、PHPバックドアのアップロードとリモートコード実行の獲得に成功していることが分かりました。

この脆弱性はCVE-2026-14894として追跡されており、Super Formsのバージョン6.3.313以前に影響します。管理者はただちにバージョン6.3.314へアップグレードするよう強く求められています。

Super FormsのWordPress脆弱性

Wordfenceは2026年7月9日、修正版がリリースされたその翌日にこの認証不要の任意ファイルアップロード問題を公表しました。悪用は7月14日から始まり、同日中にWordfenceはPremium・Care・Responseの顧客向けにファイアウォールルールを発行しています。

Exploitprevention guide

同セキュリティベンダーによると、自社のファイアウォールはこの脆弱性を狙った攻撃を25万件以上ブロックしたとのことです。フォーム送信を受け付ける、一般公開されたWordPressサイトでは特にリスクが高くなります。

脆弱性のある`submit_form()`処理は、認証不要のAJAXハンドラー`super_submit_form`経由で送信されるファイルアップロードフィールドを処理します。

送信されたデータURI文字列はBase64デコードされ、ディスクに書き込まれます。このプラグインは、アップロードされたコンテンツのタイプや拡張子を確実に検証しておらず、保存先パスのファイル名も十分に制限していません。

リクエストには`sf_nonce`が必要ですが、この保護策は実質的に機能していません。認証されていない訪問者でも、別途用意された`super_create_nonce`のnopriv(権限不要)アクションを通じて有効なnonceとセッションCookieを取得できてしまうためです。その結果、この脆弱性の悪用は認証不要のHTTPリクエスト2回にまで単純化できてしまいます。

攻撃者は画像として宣言したデータURIにPHPコードを偽装させ、.php拡張子のファイル名を指定することで、サーバーに実行可能コードを保存させることが可能です。

いったんウェブサイト経由でアクセス可能になると、このコードはウェブシェルやアップローダーとして機能し、追加のマルウェア展開、フィッシングキットのホスティング、スパム活動、データ窃取、あるいはサイトの永続的な乗っ取りにつながるおそれがあります。

実際に観測されたペイロードには、`Mushr00w_upl.php`という名前のウェブシェルがあり、これは追加の悪意あるファイルを配置するために設計された、コンパクトなブラウザベースのアップローダーです。

IOC(侵害指標)

注: 本記事に記載のIPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）としています。実際の形式への復元は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

サイト運営者は遅滞なくSuper Formsをバージョン6.3.314へアップグレードすべきです。防御側の担当者は、書き込み可能なウェブルート内で予期しないPHPファイルや最近改変されたPHPファイル、特に7月8日以降に作成・変更されたものがないか確認することが推奨されます。

セキュリティチームは、`/wp-admin/admin-ajax.php`へのリクエストのうち、actionパラメータが`super_submit_form`に設定されているもの、とりわけ上記に列挙したIPアドレスからのものがないか、ウェブサーバーのログを確認する必要があります。攻撃者はインフラを容易にローテーションできるため、IPブロックのみに頼るのは不十分です。

Microsoftsecurity updates

侵害が疑われる場合、サイト運営者はサイトを隔離し、不正な管理者アカウントや見覚えのないPHPファイルを削除し、WordPressおよびホスティングの認証情報をローテーションし、永続化の痕跡がないかスケジュールタスクやプラグインを点検した上で、検証済みのクリーンなバックアップからのみ復元を行うべきです。

マルウェアやフィッシングの発生から24時間以内に、SOCを最新の脅威情報でアップデートしましょう。 ANYRUNを試して、早期検知でインシデントを未然に防ぎましょう。