Ultra Addons for Contact Form 7に脆弱性
WordPressのプラグインUltra Addons for Contact Form 7に、認証なしでサーバー上のファイルを削除される脆弱性が公表されました。PDF生成機能を使うサイトは、版と修正版の有無を確認し、不要なら機能を止めてください。
急ぎ度: 早めに
CVSS v3は9.8で認証も不要ですが、悪用できるのはPDF生成機能を有効にしたサイトに限られるため、該当するサイトは早めの対応が必要です。
関係があるか
WordPressでUltra Addons for Contact Form 7を使い、PDF Generatorアドオンを有効にして問い合わせフォームからPDFを作っているサイトが対象です。コーポレートサイトや採用・申込受付ページなど、外部に公開しているフォームが当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Ultra Addons for Contact Form 7（WordPressプラグイン） | 3.5.54以下のすべての版 | 修正版の版番号は、WordPressのプラグイン配布ページとベンダーの告知で確認してください |
確かめ方
- 1WordPressの管理画面で、プラグイン一覧からUltra Addons for Contact Form 7の版を見ます。3.5.54以下なら対象の版です。
- 2同じ一覧で、PDF Generatorアドオンが有効になっているかを確認します。
- 3Contact Form 7のフォーム設定で、PDF生成を使うように設定されたフォームがあるかを調べます。
- 4複数のサイトを管理している場合は、WP-CLIで各サイトの版を一括して確認できます。
何が起きたか
WordPressのプラグインUltra Addons for Contact Form 7に、外部の第三者がログインなしでサーバー上のファイルを削除できる脆弱性が見つかりました。2026年11月2日に公表されたばかりです。
PDF Generatorアドオンのファイル処理で、削除するファイルのパスを十分に検証していません。外部から送られたデータがPHPのオブジェクトとして復元され、その過程でファイル削除が実行される、安全でないデシリアライズ（CWE-502）にあたります。Contact Form 7が同じサイトに入っていることも、この連鎖が成り立つ前提です。
消せるファイルに制限がないため、wp-config.phpのような設定ファイルが消されると、サイトの乗っ取りにつながる恐れがあります。ファイルが消えるだけでなく、リモートコード実行まで進みうる点が、CVSS v3で9.8と評価された理由です。
攻撃の流れ
-
1
外部から送信
攻撃者がログインなしで、PDF生成に対応した問い合わせフォームへ細工したデータを送ります。
-
2
オブジェクト化
サーバーがデータを検証しないままPHPのオブジェクトとして復元します。
-
3
ファイル削除
処理の終了時に、パスの検証が不十分なまま任意のファイルが削除されます。
-
4
乗っ取りへ
wp-config.phpなどが消されると、サイトの制御を奪われる恐れがあります。
どう悪用されるか
攻撃にログインは要らず、インターネット越しに、利用者の操作もなしで実行できます。ただし成立するのは、PDF Generatorアドオンが有効で、Contact Form 7のフォームがPDF生成を使うよう設定されている場合だけです。PDF生成機能を使っていないサイトでは、この条件に当たりません。
悪用されると、サーバー上の任意のファイルが削除されます。wp-config.phpのような重要なファイルが消されれば、リモートコード実行に発展し、サイトの改ざんや情報の持ち出しにつながりえます。
今すぐやること
-
1
プラグインの版を確認する
Ultra Addons for Contact Form 7が3.5.54以下か、PDF生成機能を使っているかを、管理画面かWP-CLIで調べます。
wp plugin get ultimate-addons-for-contact-form-7 --field=version -
2
修正版に更新する
WordPressの配布ページとベンダーの告知で修正版の有無と版番号を確かめ、公開されていれば、テスト環境で動作を見たうえで本番に適用します。更新の前にはファイルとデータベースのバックアップを取ります。
-
3
修正版がなければ機能を止める
更新できる版がまだない場合は、下の回避策でPDF生成のつなぎ止めをします。
-
4
削除や改ざんの跡を調べる
wp-config.phpなど主要ファイルが残っているか、見覚えのない管理者アカウントや更新されたファイルがないかを確認します。フォームへの不審な送信がウェブサーバーのログに残っていないかも見ます。
修正版がないあいだのつなぎ
すぐに更新できないときは、PDF Generatorアドオンを無効にするか、Ultra Addons for Contact Form 7自体を停止します。この脆弱性は、PDF生成機能が有効なときにだけ悪用できるためです。停止するとフォームからのPDF作成ができなくなるので、業務への影響を先に確認してください。
背景
Ultra Addons for Contact Form 7は、WordPressで広く使われている問い合わせフォームのプラグインContact Form 7に、追加機能を足す拡張です。今回の脆弱性があるのはPDF生成の部分で、フォームの入力内容をPDFにして保存したり送ったりする用途で使われます。
問い合わせフォームは、公開ページから誰でもデータを送れる入口です。PHPのオブジェクトを復元する処理に外部のデータが届くと、サイトに入っているほかのプラグインのクラスまで巻き込まれて動くことがあります。今回の連鎖でもContact Form 7が存在することが前提で、拡張機能の入れ方が影響の出方を左右しています。
よくある質問
Q.Contact Form 7本体も更新が必要ですか。
Q.PDF生成機能を使っていなければ、更新は後回しでよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| themefic | Ultra Addons for Contact Form 7 |
3.5.54 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Ultra Addons for Contact Form 7 plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the _getObjAttr function in all versions up to, and including, 3.5.54. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This requires the PDF Generator add-on to be active and a Contact Form 7 form to be configured for PDF generation, as the WPCF7_Submission POP gadget chain relies on CF7 being present to complete the file deletion via __destruct(). Note: This vulnerability can only be exploited when the PDF generator feature is enabled.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web wordfence.com
- web plugins.svn.wordpress.org
- web plugins.trac.wordpress.org
- web nvd.nist.gov
- web github.com