WordPressセキュリティ企業のDefiantが、Elementor Pro WordPressプラグインに存在する重大な脆弱性がハッカーに悪用され、Webサイトへの侵入に利用されていると警告しています。
Elementorは、ドラッグ&ドロップ形式でサイトを構築できる非常に人気の高いWordPress無料プラグインで、インストール数は1,000万件を超えています。有料版のElementor Proは、ファイルアップロード欄に対応したフォームウィジェットをはじめ、追加機能を提供しています。
今回の不具合はCVE-2026-32475（CVSSスコア9.8）として追跡されており、フォーム送信を処理する関数における任意ファイルアップロードの問題と説明されています。
送信内容はプラグインの検証・処理機構を通過しますが、検証ループが空とマークされたアップロードスロットに遭遇すると、エラーを発生させてそこで処理を返してしまい、同じフィールド内の他のファイルの検証が中断されてしまいます。
本来であれば空の項目をスキップして処理を続行するはずですが、この脆弱性により、同じフォームフィールド経由でアップロードされた残りのファイルには一切チェックが適用されなくなってしまいます。
攻撃者は、アップロードフィールドを2つの部分からなる配列として送信できます。まず処理を中断させる空のスロット、続いて検証を経ずにアップロードされるPHPペイロードです。
フィールド処理を担う関数は空のスロットを正しくスキップし、検証されていない2番目の部分を処理してしまうため、攻撃者が用意したファイルがそのままディスクに書き込まれてしまいます。
Defiantは「その結果、認証されていない攻撃者がアップロードされたファイルにリクエストを送ることで、サーバー上でPHPペイロードを実行できてしまいます」と説明しており、これがサイトの完全な乗っ取りにつながる可能性があるとしています。
CVE-2026-32475はElementor Proプラグインのバージョン4.2.1以前すべてに影響し、8月19日リリースのバージョン4.2.2で修正されています。サイト管理者はできるだけ早く修正版へのアップデートを行うべきです。
Defiantによると、脅威アクターは修正版のリリース直後から、この脆弱性の悪用を開始しました。同社はこれまでに19万件を超える攻撃試行をブロックしています。
この脆弱性の悪用に成功すると、フォーム送信内容の保存先である/wp-content/uploads/elementor/forms/ディレクトリにPHPファイルが書き込まれます。
サイト管理者には、このディレクトリ内にPHPファイルが存在しないか確認するよう推奨されています。これは侵害の強力な兆候（IoC）となります。また、/wp-admin/admin-ajax.phpへのリクエストがないかログを確認し、侵害の痕跡が見つかった場合はバックドアの有無もチェックすべきです。
Defiantによれば、Elementor Proのアクティブインストール数は600万件を超えていますが、そのうちどれだけが影響を受けているかは不明です。WordPressのデータによると、9月4日時点でElementorの1,000万件のインストールのうち、およそ3分の2が脆弱なバージョンのプラグインを使用しているとのことです。
翻訳元: https://www.securityweek.com/elementor-pro-wordpress-plugin-vulnerability-exploited-to-hack-sites/
