Ninja Forms File Uploadプラグインの重大なセキュリティ脆弱性により、ほぼ50,000個のWordPressウェブサイトが潜在的なリモート侵害にさらされており、ウェブセキュリティコミュニティ全体で深刻な懸念が生じています。
CVE-2026-0740として追跡されているこの欠陥は、CVSS スコア9.8を持っており、最大レベルの深刻度を示しています。
訪問者にドキュメントと画像などのファイルをアップロードできるようにするために広く使用されているこのプラグインは、現在、数千のアクティブなインストールに影響を与える高リスク攻撃面の中心にあります。
この脆弱性はセキュリティ研究者Sélim Lanouar氏によって発見され、2026年1月8日にWordfence Bug Bounty Programを通じて報告されました。
調査結果の深刻度と影響を認めて、Wordfenceは$2,145の報奨金を授与しました。このケースは、脅威行為者がそれらを武器化する前に悪用可能な欠陥を識別する際の独立した研究者の重要な役割を強調しています。
この問題は、プラグインのファイルアップロード処理メカニズム、特にそのAJAXコントローラーでの不適切な検証に起因しています。
プラグインはアップロードされたファイルの元の名前に対して初期ファイルタイプチェックを実行しますが、保存操作中に最終宛先ファイル名のファイル拡張子を検証しません。
この見落としにより、攻撃者はセキュリティ制限を完全にバイパスすることができます。アップロードリクエストを操作することにより、認証されていないユーザーは、正当なコンテンツに偽装した実行可能PHPスクリプトを含む悪意のあるファイルをアップロードできます。
さらに、パス無害化が不十分なため、脆弱性が複雑化しています。攻撃者はパストラバーサル技術を悪用して、Webルートを含む機密ディレクトリにアップロードされたファイルを強制することができます。これにより、ブラウザリクエストを介して悪意のあるペイロードを直接実行することができます。
実行されると、攻撃者はリモートコード実行（RCE）を獲得し、影響を受けたサーバーの完全な制御を効果的に取得します。
そこから、脅威行為者はWebシェルを配備し、データベース認証情報を抽出し、悪意のあるSEOスパムを注入したり、接続されたシステム全体にランサムウェア攻撃を仕掛けたりすることができます。
開示に続いて、Wordfenceはプレミアムユーザー向けの仮想ファイアウォール保護を実装して、悪用の試みをブロックしました。一方、プラグイン開発者は2026年2月10日にバージョン3.3.25で部分的な修正をリリースしました。
脆弱性は2026年3月19日にリリースされたバージョン3.3.27で完全に修正されました。ただし、バージョン3.3.26までを実行しているインストールは、脆弱性が残り、即座に侵害されるリスクがあります。
セキュリティ専門家は、WordPressの管理者にプラグインを遅滞なく更新するよう強く勧告しています。悪用の容易さと認証要件の欠如を考えると、この脆弱性は自動化された攻撃の対象になる可能性が高くなります。
数万のウェブサイトが公開されている中、CVE-2026-0740は、不安全なファイルアップロードメカニズムがもたらすリスクと、ウェブセキュリティの維持におけるタイムリーなパッチ管理の重要性について厳しい警告となっています。
翻訳元: https://cyberpress.org/ninja-forms-rce-flaw/