WordPressプラグイン2製品で重大脆弱性、44万件超の悪用試行をWordfenceが観測

WordPress向けプラグイン「Super Forms – Drag & Drop Form Builder」と「Elementor Pro」に存在する重大な脆弱性を狙った攻撃が確認されています。Wordfenceによると、2件を合わせて44万件を超える悪用試行をすでにブロックしており、いずれも認証なしでPHPファイルなどをアップロードされ、最終的にサーバー上で任意のコードを実行される可能性があります。対象プラグインを利用するサイトでは早急な確認が必要です。
The Hacker News：Over 440,000 Exploit Attempts Target Super Forms and Elementor Pro RCE Flaws

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

Super Forms – Drag & Drop Form Builder 6.3.313以前（CVE-2026-14894、The Hacker News記載のCVSSスコア：9.8）
Elementor Pro 4.2.1以前（CVE-2026-32475、The Hacker NewsではCVSSスコア：9.0／9.8と記載）
Elementor Proについては、公開済みのElementorページにFormウィジェットが配置され、その中にFile Uploadフィールドが存在するサイトが悪用条件として報告されています。
上記の脆弱なプラグインを使用しているWordPressサイト

推奨される対策

Super Formsを6.3.314以降へ更新してください。
Elementor Proを4.2.2以降へ更新してください。
対象サイトをスキャンし、侵害を示す兆候がないか確認してください。
WordPressサイト内に、管理者が把握していないPHPファイルや最近変更されたPHPファイルが存在しないか確認してください。
すでに実際の悪用が確認されているため、対象バージョンを利用している場合は更新を優先してください。

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

CVE-2026-14894：Super Forms – Drag & Drop Form Builderに存在する、ファイル種類の検証不備に関する脆弱性です。
CVE-2026-32475：Elementor ProのForm機能に存在する、任意のファイルをアップロードできる脆弱性です。
RCE：Remote Code Executionの略で、攻撃者が対象サーバー上で任意のコードを実行できる状態を指します。
任意ファイルアップロード：本来許可されるべきではないPHPファイルなどを、攻撃者がサーバーへアップロードできる脆弱性です。
Webシェル：Web経由でサーバーに命令を送るために設置されるプログラムです。侵害後の操作などに悪用される場合があります。
認証不要：有効なWordPressアカウントでログインしなくても脆弱性を悪用できることを意味します。

2つのWordPressプラグインで認証不要のファイルアップロードを悪用

今回悪用が確認されているのは、Super Formsの「CVE-2026-14894」とElementor Proの「CVE-2026-32475」です。いずれもファイルアップロード処理に関係しており、認証されていない攻撃者がPHPファイルなど、本来アップロードを許可すべきではない種類のファイルをWordPressサーバーへ配置できる可能性があります。The Hacker Newsによると、CVE-2026-14894はSuper Forms 6.3.314で、CVE-2026-32475はElementor Pro 4.2.2で修正されています。

攻撃者が実行可能なPHPファイルをWebサーバーへ配置できた場合、そのファイルへWeb経由でアクセスすることでサーバー上のコードを実行される恐れがあります。こうしたファイルはWebシェルとして利用され、追加の不正ファイルを配置する入口となる可能性があります。さらに元記事では、任意コード実行に成功すると、WordPressの管理者アカウントを作成したり、サイト上のデータを持ち出したり、最終的にWordPressサイト全体を制御したりする用途に悪用される可能性があると説明されています。単なる不正ファイルの保存にとどまらず、サイト侵害につながる重大な問題として対応する必要があります。

Super Formsでは25万件超、Elementor Proでは19万件超をブロック

Wordfenceは、CVE-2026-14894を狙った悪用試行を25万件以上、CVE-2026-32475を狙った悪用試行を19万件以上ブロックしたと報告しています。単純に合計しても44万件を超えており、両脆弱性が実際の攻撃活動へ組み込まれていることが分かります。Super Formsを対象とした悪意ある活動は2026年7月14日に始まったとされ、8月18日には1日で4万件を超える攻撃リクエストが確認されました。

Super Formsを狙った攻撃では、WordPressの/wp-admin/admin-ajax.phpに対してリクエストを送り、ファイルアップロード処理を利用してPHPベースのWebシェルを配置する活動が観測されています。アップロードされたファイルは表面的には画像データを装いながら、実際には追加のファイルをアップロードできるPHPコードを含んでいたと報告されています。Wordfenceは攻撃元として複数のIPアドレスを確認していますが、IPアドレスだけを恒久的な防御手段として扱うのではなく、根本対策として修正版への更新を行うことが重要です。すでに攻撃が大規模に観測されていることから、インターネットへ公開しているWordPressサイトでは特に迅速な対応が求められます。

Elementor ProはFormウィジェットのFile Upload機能が攻撃対象に

CVE-2026-32475については、Elementor ProのFormウィジェットに含まれるFile Uploadフィールドの処理が問題となっています。元記事によると、攻撃を成立させるには、対象WordPressサイト上に少なくとも1つの公開済みElementorページがあり、そのページにFormウィジェットとFile Uploadフィールドが含まれている必要があります。攻撃者は特定の形式でファイルアップロードデータを送信することで検証処理を回避し、PHPファイルをアップロードできる可能性があります。

アップロードに成功したPHPファイルは、/wp-content/uploads/elementor/forms/配下へランダムに生成されたファイル名で保存されますが、攻撃者が指定した.php拡張子は維持されると報告されています。その後、攻撃者が保存されたファイルへ直接アクセスすることで、サーバー上で任意のコマンドを実行できる可能性があります。Wordfenceによる観測では、CVE-2026-32475を狙った攻撃は2026年8月19日に始まり、19万件を超える悪用試行がブロックされています。Elementor Proを利用しているだけで一律に同じ攻撃条件になるわけではないものの、該当するForm機能を公開しているサイトでは特に注意が必要です。

更新だけでなく侵害の有無も確認することが重要

今回の2件については、脆弱性の情報が公開されているだけでなく、実際の悪用試行が大量に観測されています。そのため、対象プラグインを最新版へ更新するだけではなく、更新以前にサイトが侵害されていなかったかを確認することも重要です。Wordfenceは、Super FormsおよびElementor Proを利用しているWordPressサイトの管理者に対し、脆弱性を修正するパッチを直ちに適用するとともに、サイトをスキャンして侵害を示す兆候がないか確認することを推奨しています。

特に確認すべきなのは、管理者が設置した覚えのないPHPファイルや、最近新規作成・変更されたPHPファイルです。今回の攻撃では、PHP形式のWebシェルをアップロードして、そのファイルを足掛かりとして追加の操作を行う活動が報告されています。Super Formsを利用している場合は6.3.314以降、Elementor Proを利用している場合は4.2.2以降になっているかを確認し、該当する古いバージョンが残っている場合には優先的に更新する必要があります。複数のWordPressサイトを管理している企業では、個々のサイトだけでなく、管理対象全体から対象プラグインとバージョンを洗い出すことも重要です。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）