- Wordfenceが「Elementor Pro」と「Super Forms」に存在する2件の重大な脆弱性を公表
- 未認証のまま任意のファイルをアップロードでき、リモートコード実行につながるバグ。いずれも最近パッチが適用済み
- 悪用の試みはすでに44万件を超える
研究者らが実際に悪用されている2件の重大な脆弱性を発見したとして、600万人を超えるWordPressユーザーがサイト乗っ取りのリスクにさらされていると報告しました。
セキュリティ研究者集団Wordfenceは、人気の高い2つのWordPressプラグイン「Elementor Pro」と「Super Forms」にそれぞれ1件ずつ、合計2件の欠陥を発見したと公表しました。
Elementor Proは、コードを書かなくてもドラッグ&ドロップの要素を組み合わせてWebサイトを構築できる有料プラグインです。高度なウィジェットやテンプレート、各種フォーム、ポップアップなどを追加できることから人気が高く、600万を超えるサイトで実際に利用されています。
2つのバグ、数十万件に及ぶ攻撃
Wordfenceによると、Elementor Proはつい最近まで、バージョン4.2.1以下のすべてで「無制限のファイル種別アップロード」というバグの影響を受けていたといいます。研究者らは「これにより、未認証の攻撃者が実行可能なファイルをアップロードできる可能性があり、結果としてリモートコード実行が可能になる」と説明しています。「ただし、この攻撃が成立するには、標的となるサイトが、必須ではないファイルアップロードフィールドを少なくとも1つ含むElementor Pro Formウィジェットを備えたページを公開している必要がある」としています。
このバグはCVE-2026-32475として追跡されており、深刻度スコアは9.8/10(緊急)で、2026年8月中旬にパッチが適用されました。Wordfenceだけでも、これまでに19万件を超える悪用の試みをブロックしています。
ほぼ同時期に、研究者らはドラッグ&ドロップのインターフェースでフォームを作成・管理できるフォームビルダープラグイン「Super Forms」にも欠陥を発見したと報告しました。このプラグインはアクティブインストール数が約1万3000件で、バージョン6.3.313以下のすべてで任意のファイルアップロードを許してしまうバグを抱えていました。
研究者らは「これにより、未認証の攻撃者が実行可能なファイルをアップロードできる可能性があり、結果としてリモートコード実行が可能になる」と説明しています。
こちらはCVE-2026-14894として追跡されており、こちらも深刻度スコアは9.8/10(緊急)で、数週間前にパッチが適用されています。この欠陥について、Wordfenceは25万件を超える悪用の試みを観測しており、2件を合わせると、すでに44万件の攻撃が発生していることになります。
これらのプラグインは広く普及しており、しかも脆弱性がすでに積極的に悪用されていることから、ユーザーは速やかに修正パッチを適用するよう推奨されています。
