WordPressプラグイン「Super Forms」「Elementor Pro」の深刻な脆弱性を狙う攻撃が急増、44万件以上の悪用試行を観測

要点

• WordPressの人気プラグイン「Super Forms」と「Elementor Pro」で、リモートコード実行（RCE）につながる脆弱性を標的とした攻撃が活発化している。

• セキュリティ企業Wordfenceの調査により、両プラグインを対象とした悪用試行が合計で44万件以上ブロックされたことが判明した。

• いずれの欠陥もファイル検証の不備を突いてWebシェルを配置させ、サイトを完全に乗っ取ることが可能になる。

• 脆弱性はすでに修正されており、Super Forms 6.3.314およびElementor Pro 4.2.2で対策が施されている。

• WordPress向けの人気プラグイン「Super Forms」および「Elementor Pro」に存在する深刻な脆弱性を標的としたサイバー攻撃が急増していることが明らかになった。セキュリティ企業Wordfenceが2026年9月に公開したレポートによると、これらを狙った悪用試行はすでに合計44万件以上ブロックされたという。いずれの脆弱性も未認証の攻撃者によるリモートコード実行（遠隔からの不正プログラム実行）を許すものであり、Webサイト全体の制御権が奪われる危険性がある。

44万件以上の攻撃を遮断、サイト完全掌握のリスク

Wordfenceの報告によると、同社は「Super Forms」の脆弱性（CVE-2026-14894）に対して25万件以上、「Elementor Pro」の脆弱性（CVE-2026-32475）に対して19万件以上、合わせて44万件を超える攻撃リクエストを検知・遮断した。

今回標的となっている脆弱性は、いずれも任意のファイルをアップロードできてしまう欠陥である。攻撃者はこの不備を突き、PHPで記述された不正なWebシェル（外部からサーバーを遠隔操作するバックドアプログラム）をサイト上に配置して任意のコードを実行する。これにより、管理者アカウントの不正作成やデータの窃取、サイト全体の乗っ取りといった深刻な被害につながる恐れがあると説明されている。

「Super Forms」の脆弱性と攻撃の手口

「Super Forms – Drag & Drop Form Builder」に存在する脆弱性「CVE-2026-14894」は、CVSS（共通脆弱性評価システム）スコア9.8と極めて高い危険度を持つ。ファイルタイプの検証処理が欠落していることが原因で、認証されていない攻撃者が実行可能なPHPファイルを含む任意のファイルをアップロード可能となっていた。

Wordfenceの解析によると、攻撃者はエンドポイント「/wp-admin/admin-ajax.php」に対し、「super_submit_form」アクションを指定したHTTP POSTリクエストを送信する。このリクエスト内のファイル送信フィールドに、Base64形式でエンコードされたPHPコードと攻撃者が指定したファイル名を含める手口が確認された。

具体的には、「data:image/gif;base64」という画像形式の識別子を偽装して付与しつつ、実際には「Mushr00w_upl.php」という名称のPHPファイルアップローダー型Webシェルを書き込ませる。これが配置されると、攻撃者が外部からさらに別のペイロード（攻撃プログラム）を追加アップロードするための足がかりとして機能してしまう。

この攻撃活動は2026年7月14日に始まり、2026年8月18日には1日で4万件以上のリクエストというピークを記録した。攻撃元として以下の10件のIPアドレスが特定されている。

• 103.168.147.235
• 103.168.146.131
• 103.154.152.178
• 103.170.97.7
• 182.10.130.51
• 189.4.122.140
• 129.227.46.143
• 64.176.209.104
• 103.164.182.122
• 37.9.33.62

なお、本脆弱性はバージョン6.3.314で修正済みとなっている。

「Elementor Pro」における検証回避の構造

もう一方の「Elementor Pro」に存在する脆弱性「CVE-2026-32475」は、CVSSスコア9.0（または9.8）と評価されている。この問題は2026年8月にセキュリティ企業Patchstackによって詳細が開示されていた。

本脆弱性の悪用には前提条件があり、標的サイト上にファイルアップロード（File Upload）フィールドを持つフォーム（Form）ウィジェットが配置された公開ページが、少なくとも1つ存在している必要がある。

攻撃の手法についてWordfenceは、フォームのファイルアップロードフィールドを配列形式で送信する構造が悪用されていると報告している。配列の1番目の要素を意図的に空にし、2番目の要素に「.php」拡張子を持つPHPペイロードを格納して送信することで、プラグイン側の検証処理が回避され、実行可能なPHPファイルが保存されてしまうという。本脆弱性はバージョン4.2.2で修正されている。

補足

両プラグインの開発元からはすでに脆弱性を解消したアップデート（Super Forms 6.3.314、Elementor Pro 4.2.2）が提供されている。