Elementor Pro(600万サイト)にCVE-2026-32475の認証不要RCE、公開当日から悪用開始 — Super Forms CVE-2026-14894と合わせ44万件超の試行、Wordfenceが警告

この記事は約11分で読めます。

WordPress向けプラグイン「Super Forms – Drag & Drop Form Builder」と「Elementor Pro」に存在する重大な任意ファイルアップロード脆弱性を狙い、合計44万件を超える悪用試行が確認されています。

Wordfenceによると、Super FormsのCVE-2026-14894に対して25万件超、Elementor ProのCVE-2026-32475に対して19万件超の悪用試行を同社のファイアウォールがブロックしました。いずれも認証されていない攻撃者が、条件を満たすWordPressサイトへ実行可能なPHPファイルなどをアップロードし、リモートコード実行(Remote Code Execution:RCE)へつなげられる可能性があります。

ただし、「44万件超のWordPressサイトが侵害された」という意味ではありません。この数字はWordfenceが観測・遮断した悪用リクエストの合計です。同じサイトに対して繰り返し試行された通信も含まれるため、侵害されたサイト数や被害組織数とは区別する必要があります。

Super Formsは6.3.314、Elementor Proは4.2.2で修正されています。両方ともすでに実際の攻撃対象となっているため、対象プラグインを利用しているWordPress管理者は、バージョン確認と更新に加え、修正前に外部公開していたサイトでは侵害の有無も確認する必要があります。

今回確認された2件の脆弱性

項目 Super Forms Elementor Pro
CVE CVE-2026-14894 CVE-2026-32475
脆弱性 認証不要の任意ファイルアップロード 認証不要の任意ファイルアップロード
CWE CWE-434 CWE-434
CVSS v3.1 9.8(重大:Critical) Patchstack:9.0 / Wordfence:9.8
影響バージョン 6.3.313以前 4.2.1以前
修正版 6.3.314 4.2.2
認証 不要 不要
主な影響 実行可能ファイルの設置、RCE 実行可能ファイルの設置、RCE
Wordfence観測 25万件超の悪用試行 19万件超の悪用試行

共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)では、両方ともCWE-434「Unrestricted Upload of File with Dangerous Type」に分類されます。これは、本来許可すべきではない危険な種類のファイルをアップロードできる問題です。

Super FormsのCVE-2026-14894は、WordfenceがCVE番号付与機関(CVE Numbering Authority:CNA)として共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の9.8(重大:Critical)を付与しています。

Super Forms CVE-2026-14894

Super Forms – Drag & Drop Form Builderは、ドラッグ&ドロップで問い合わせフォームなどを作成できるWordPressプラグインです。Wordfenceは約1万3,000サイトで利用されていると推定しています。

CVE-2026-14894は、Super Forms 6.3.313以前に存在する認証不要の任意ファイルアップロード脆弱性です。

Wordfenceによると、問題となる処理ではアップロードするファイルの種類や拡張子が適切に検証されず、処理を実行する利用者の権限確認も不足していました。そのため外部の未認証利用者が、実行可能なファイルをWordPressサーバーへ書き込める可能性がありました。

攻撃に成功すると、PHPで動作するバックドアやWebシェルなどをサーバー上へ配置し、そのファイルを介して任意コードを実行できる可能性があります。

本記事では、Wordfenceが公開している具体的なHTTPリクエスト、パラメーター名、ペイロード、ファイル配置手順など、実際の悪用を再現できる情報は掲載しません。

Super Formsは7月から攻撃対象に

WordfenceはCVE-2026-14894を2026年7月9日に公開しました。ベンダーはその前日の7月8日に修正版6.3.314をリリースしています。

しかし攻撃者の動きは速く、Wordfenceによると7月14日には悪用が始まっていました。

その後、8月18日から25日にかけて大量の悪用試行が観測され、8月18日には1日で4万件を超えるリクエストが確認されています。9月3日時点で、Wordfence Firewallがブロックした悪用試行は25万件を超えました。

つまり、修正版が公開されてから時間が経過しているにもかかわらず、未更新サイトを探す自動攻撃が継続していると考えられます。

実際の攻撃ではPHPバックドアを設置

Wordfenceが観測したCVE-2026-14894への攻撃では、実行可能なPHPファイルをアップロードし、そのファイルを利用して追加の不正ファイルを設置しようとする活動が確認されています。

攻撃で確認されたファイルは、後続のマルウェアやWebシェル、スパム用ファイル、フィッシングコンテンツなどを追加するためのアップローダーとして機能していました。

重要なのは、CVE-2026-14894が単なる「ファイルを置ける」問題ではないことです。WebサーバーがPHPを実行できる場所へ攻撃者のファイルが配置されると、そのファイルを通じてサーバー上で処理を実行され、WordPressサイト全体の侵害へ発展する可能性があります。

一度バックドアが設置された場合、後からプラグインを更新しても、そのバックドアが自動的に削除されるわけではありません。

Elementor Pro CVE-2026-32475

Elementor Proは、WordPressで広く利用されているページビルダーElementorの有料拡張です。WordfenceはElementor Proについて600万以上のアクティブインストールがあると説明しています。

CVE-2026-32475はElementor Pro 4.2.1以前のフォーム(Forms)モジュールに存在する任意ファイルアップロード脆弱性です。修正版4.2.2は8月19日に公開されました。

Patchstackの分析によると、原因はフォームのファイルアップロードフィールドを検証する処理と、実際にファイルを保存する処理で、空のアップロード項目に対する扱いが一致していなかったことです。

その結果、特定の条件下では、本来ブロックされるはずの実行可能なファイルが検証を通過したような状態になり、サーバーへ保存される可能性がありました。

ここでも本記事では、ファイル配列の作り方やリクエスト構造、保存ファイル名の推測方法など、攻撃を再現できる具体的手順は扱いません。

Elementor Proは公開当日から悪用試行

Patchstackは8月19日にCVE-2026-32475の詳細を公開し、同日にElementor Pro 4.2.2が修正版として公開されました。

Wordfenceによると、攻撃者はその8月19日から脆弱なサイトを狙い始めています。

8月19日から23日にかけて特に多くの攻撃が観測され、9月2日時点でWordfence Firewallがブロックした悪用試行は19万件を超えました。

脆弱性の公開と修正版の提供から同日に攻撃が始まった点は、WordPressのようにインターネットへ公開されるソフトウェアでは、脆弱性公開後の対応猶予が非常に短いことを示しています。

侵害されると何が起きるのか

任意ファイルアップロードからRCEに至る脆弱性では、攻撃者がWordPressの管理画面へログインしなくても、Webサーバー上でコードを実行できる可能性があります。

攻撃成功後には、追加のバックドア設置、不正な管理者アカウント作成、サイト内容の改ざん、データ窃取、SEOスパム、フィッシングページの設置、他サイトへの攻撃に利用する踏み台化などへ発展する可能性があります。

Wordfenceも、Webシェルを介した管理者アカウント作成、データ流出、サイト全体の制御などを影響として挙げています。

ただし、これらすべてが今回観測された44万件超の通信で実際に発生したという意味ではありません。脆弱性が悪用された場合に可能になる代表的な影響と、Wordfenceが観測した具体的な攻撃活動は分けて理解する必要があります。

管理者が優先して確認すべきこと

1.プラグインのバージョンを確認する

Super Formsは6.3.314以降、Elementor Proは4.2.2以降になっているか確認してください。現在さらに新しいバージョンが提供されている場合は、互換性を確認したうえで最新の安定版を利用することが望ましいです。

2.Elementor ProでFile Uploadフォームを使っているか確認する

Elementor Proを利用している場合は、公開ページ上のフォームウィジェットでファイルアップロードを受け付けていないか確認します。特に必須ではないファイルアップロードフィールドを含むフォームは、CVE-2026-32475の成立条件と一致します。

3.不審なPHPファイルや最近変更されたファイルを確認する

Wordfenceは、成功した攻撃では実行可能なPHPファイルがサーバーへ書き込まれるため、想定外のPHPファイルや最近作成・変更されたファイルを確認するよう推奨しています。

Elementor Proの場合はフォームからアップロードされたファイルを保存する領域にPHPファイルが存在しないか、Super Formsの場合はサイト全体で不自然に新規作成・変更されたPHPファイルがないかを確認することが重要です。

4.管理者アカウントを確認する

見覚えのないWordPress管理者アカウント、最近追加されたユーザー、権限が変更されたアカウントがないか確認してください。

5.WebサーバーとWordPressのログを確認する

修正前の期間に大量のフォーム送信、ファイルアップロード、不自然なPHPファイルへのアクセスなどが発生していないか確認します。侵害指標(Indicator of Compromise:IoC)の確認は、単一のIPアドレスだけに依存しないことが重要です。

6.侵害が確認された場合は資格情報も見直す

攻撃者がRCEを取得した可能性がある場合、WordPressのパスワードだけでなく、データベース接続情報、ホスティング管理画面、FTPやSSH、APIキーなど、サーバーから参照できた認証情報への影響も考慮してください。

Webアプリケーションファイアウォールは補助策

Wordfenceは、自社のWebアプリケーションファイアウォール(Web Application Firewall:WAF)で今回の悪用試行をブロックしたと説明しています。

Elementor Proについては、WordfenceのMalicious File Upload保護によって攻撃を遮断するとしています。Super Formsについても、既知の悪用を対象としたファイアウォールルールが提供されています。

しかしWAFで保護されている場合でも、Wordfenceはプラグイン自体を修正版へ更新するよう推奨しています。

WAFは防御層の1つであり、脆弱なコードを残したままにするための代替策ではありません。設定変更や別の攻撃経路、将来の回避手法を考えると、根本対策は修正版への更新です。

WordPressでは公開後すぐに攻撃が始まる

今回の2件は、WordPressプラグインの脆弱性対応において「修正版があるから次回メンテナンスで対応すればよい」と考える危険性を示しています。

Super Formsでは公開から数日後、Elementor Proでは公開当日から悪用試行が始まりました。

WordPressは世界中からアクセス可能なWebサイトで利用されるため、攻撃者は検索エンジンや自動スキャンなどを用いて、脆弱なプラグインを利用している可能性があるサイトを広範囲に探索できます。

脆弱性の詳細が公開されると、攻撃コードを一から研究する必要がなくなり、自動化された攻撃へ移行するまでの時間が短くなる傾向があります。

そのためインターネット公開されたWordPressでは、Criticalな認証不要RCEや任意ファイルアップロードを、通常の月次更新と同じ優先度で扱わないことが重要です。

まとめ

Super FormsのCVE-2026-14894とElementor ProのCVE-2026-32475は、いずれも認証されていない攻撃者による任意ファイルアップロードからRCEへつながる重大なWordPressプラグイン脆弱性です。

WordfenceはSuper Formsに対して25万件超、Elementor Proに対して19万件超、合計44万件を超える悪用試行をブロックしたと報告しています。

Super Formsは6.3.314、Elementor Proは4.2.2で修正されています。Elementor Proについては公開されたフォームウィジェットに非必須のファイルアップロードフィールドがあることが悪用条件ですが、該当しない場合でも脆弱なバージョンを残さず更新することが推奨されます。

特に修正前のバージョンをインターネットへ公開していたサイトでは、更新だけで対応を終了せず、不審なPHPファイル、管理者アカウント、Webサーバーログなどを確認してください。

参考情報

コメント

タイトルとURLをコピーしました