WordPress用プラグイン「Elementor Pro」に重大な脆弱性、未認証でのPHPアップロードとコード実行の恐れ

要点

• WordPressの人気ページビルダープラグイン「Elementor Pro」において、CVSSスコア9.0の深刻な脆弱性（CVE-2026-32475）が判明した。

• 攻撃者はログイン認証を必要とせず、悪意あるPHPスクリプトを公開ディレクトリへアップロードして遠隔からコードを実行できる状態だった。

• 影響を受けるのはバージョン4.2.1以前の全バージョンであり、ファイルアップロード機能を持つフォームが公開されている標準的な設定で悪用が可能とされる。

• 発見者からの報告を受け、開発元は2026年8月19日に修正版となるバージョン4.2.2を公開した。

• 直近ではWordPressコアの更新や侵害サイトを悪用する大規模攻撃も確認されており、セキュリティ対策の維持が呼びかけられている。

• WordPress向けの人気プラグイン「Elementor Pro」において、認証を受けていない第三者が悪意あるファイルをアップロードし、サーバー上で不正なコードを実行できる重大な脆弱性が存在することが明らかになった。セキュリティ企業Patchstackのバグバウンティプログラム（脆弱性報奨金制度）を通じて公表されたもので、共通脆弱性評価システムCVSSのスコアは10点満点中9.0と極めて高い深刻度を示している。開発チームは2026年8月19日、この不具合に対処した最新バージョン4.2.2をリリースした。

拡張子チェックの不整合によりPHPファイル書き込みが可能に

今回明らかになった脆弱性は「CVE-2026-32475」として管理されており、危険なファイル形式の無制限アップロードに分類される。不具合の根本原因は、プラグインの「Forms」モジュールが備える「File Upload（ファイルアップロード）」フィールドの内部処理にある。

Patchstackの説明によると、該当モジュールではアップロードされたファイルの拡張子を検証する工程と、ファイルを所定の場所へ移動させる工程が、別々のループ処理として実行されていた。さらに、空のファイルエントリが送信された際の挙動が2つのループ間で異なっていたという。

攻撃者はこの不整合を突き、1つの入力フィールドに対して2つのファイルパートを同時に送信することで、拡張子のブロックリストによるチェックを完全に回避できる。その結果、本来遮断されるべきPHPファイルをウェブから直接アクセス可能な公開ディレクトリへと書き込ませることが可能になり、リモートコード実行（遠隔から任意のプログラムをサーバー上で動かす攻撃手法）につながる脆弱性が生じていた。

このセキュリティ欠陥は、バージョン4.2.1を含む、それ以前のすべてのバージョンのElementor Proに影響を及ぼすとされている。

特殊な設定を必要としない攻撃の成立条件

攻撃を実行するための前提条件は極めて少なく、標的となるサイト上にファイルアップロードフィールドを含むFormウィジェットを持ったElementorページが、少なくとも1つ公開されていることだけだと説明されている。

攻撃によって送信されたファイルは、サーバー上の「wp-content/uploads/elementor/forms/<uniqid>.php」というパスに保存される。パス内の「<uniqid>」には、PHPの標準関数であるuniqid()によって生成された固有の識別文字列が割り当てられる。

このファイルアップロード機能は、求人への応募フォーム、本人確認書類や領収書の画像添付、サポート窓口へのファイル送信用など、ウェブサイトの日常的な運用において非常に広く使われている構成である。また、対象フィールドの「必須（Required）」トグルがオフになっている状態が初期設定であるため、管理者が意図的にセキュリティを緩めたり特殊な設定を行ったりしていなくても、脆弱性の影響を受ける状態になっていたとされる。

発見と修正のタイムライン

本脆弱性を発見して報告したのは、セキュリティ研究者のTin Pham氏（TF1T）である。同氏はPatchstackのバグバウンティプログラムを通じてこの問題を報告した。

報告は2026年7月16日にElementor Pro側へと伝達され、調査と改修を経て、約1カ月後の8月19日に修正パッチとなるバージョン4.2.2が公開されるに至った。

WordPressを取り巻く関連セキュリティ動向

今回の脆弱性修正は、WordPress本体における直近のセキュリティリリースから約1週間余りで発表された。WordPressは先週、投稿者（Author）以上の権限を持つユーザーが悪意あるPostscriptファイルをアップロードしてリモートコード実行を可能にする脆弱性（CVE-2026-65640、CVSSスコア8.8）を修正するため、「WordPress 7.0.4」を公開している。

WordPressコアの脆弱性は、サーバー環境で画像処理ツールのImagickとGhostscriptが利用されており、かつメディアのアップロード権限を持つユーザーが存在する場合に悪用される恐れがあった。バージョン7.0.4では画像処理側へメディアデータを渡す処理が変更され、不正な画像に見せかけたコード実行の経路が遮断された。

これらに加え、WordPressエコシステムでは現在「StopAndProtect」と呼ばれる大規模なサイバー攻撃活動も確認されている。この攻撃では、侵害された数千におよぶWordPressサイトが悪用され、マルウェアの配信やC2（攻撃者が指令を送るサーバー）との通信、盗難データの保管を行う分散型インフラへと仕立て上げられているという。

こうした被害を防ぐため、サイト管理者に対しては、WordPress本体およびプラグインを常に最新版に保つこと、予期しないリダイレクトやポップアップを表示させる不正な改ざんの有無をスキャンすること、不審なアカウントや未知のプラグインが追加されていないか定期的に監査することが推奨されている。