WP Libre Formに遠隔コード実行の脆弱性、修正版は未確認
WordPressプラグインのWP Libre Form 1.5.0.1に、フォームに送られたファイルを足がかりにサーバー上でコードを実行されるおそれのある脆弱性が公表されました。使っているサイトは版を確認し、修正版が確認できるまでプラグインを無効にしてください。
急ぎ度: 至急
CVSS v3が満点の10で、公表時点の記録に修正版の記載がなく、ログインなしで遠隔からコードを実行されるおそれがあるためです。
関係があるか
WordPressでWP Libre Form 1.5.0.1を使い、フォームをインターネットに公開しているサイトが対象です。コーポレートサイトや問い合わせ窓口を自社でWordPress運用している組織は、運用を委託している場合も含めて確認が必要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WP Libre Form（WordPressプラグイン） | 1.5.0.1 | 公表された記録には記載がありません。WordPress.orgのプラグインページと開発元の告知で確認してください。 |
確かめ方
- 1WordPressの管理画面で「プラグイン」の一覧を開き、WP Libre Formの版が1.5.0.1か確認します。有効化していないものも一覧に出ます。
- 2サーバーに入れる場合は、WordPressのディレクトリで
wp plugin get wp-libre-form --field=versionを実行すると版を確認できます（WP-CLIを導入している場合）。 - 3制作会社や保守業者に任せているサイトは、このプラグインを使っているかどうかを先に問い合わせます。
何が起きたか
WP Libre Form 1.5.0.1には、フォームから送られてきたファイルの種類を検査しない脆弱性があります。PHPファイルをそのままアップロードされ、外部から開ける場所に置かれて実行されると、サーバー上で任意のコードが動いてしまいます。
CWEはCWE-434（危険な種類のファイルの無制限アップロード）で、CVSS v3は10、深刻度はcriticalです。公表日は2026年11月6日で、WPScanの脆弱性ページが攻撃に関する参照として付いています。
公表したてで攻撃の広がりは読めません。それでも、評価が満点で修正版も確認できていないため、筆者は様子見をせずに動いたほうがよいと考えています。
攻撃の流れ
-
1
フォームに接続
攻撃者が、公開されているフォームの送信先にアクセスします。
-
2
PHPファイルを送信
ファイルの種類が検査されないため、PHPファイルがそのまま受け付けられます。
-
3
公開領域に保存
ファイルがWebから開ける場所に置かれます。
-
4
コードを実行
置かれたファイルにアクセスされ、サーバー上で任意のコードが動きます。
どう悪用されるか
攻撃にログインは要りません。ネットワーク越しに、フォームを公開しているサイトへアクセスできれば成立し、利用者の操作も必要ありません。攻撃の難しさは低く、特別な条件もCVSSのベクターには示されていません。
成功すると、WordPressを動かしているサーバー上で攻撃者のコードが実行されます。サイトの改ざん、保存されたデータの読み取りや書き換え、サービス停止のほか、同じサーバーや社内ネットワークの別のシステムへの足がかりにされるおそれがあります。CVSSの影響範囲が「変更あり」とされているのは、被害が脆弱なプラグインの外にも及ぶと見られているためです。
今すぐやること
-
1
使っているかを今日中に確認する
管理画面かWP-CLIでWP Libre Formの有無と版を確認します。ステージング環境や、別部署が持つサイトも漏れなく洗い出します。
wp plugin get wp-libre-form --field=version -
2
修正版の有無を確かめる
WordPress.orgのプラグインページと開発元の告知を見て、1.5.0.1より新しい版が出ているかを確認します。出ていれば、バックアップを取ったうえで更新します。
-
3
修正版が確認できないうちは無効化する
フォームの停止による業務への影響が許容できるなら、プラグインを無効にします。問い合わせ窓口は、メールや別のフォームで代替します。
-
4
侵害の跡を調べる
見覚えのないPHPファイルが最近置かれていないか、フォームの送信先へのアクセスログに不審なファイル送信がないかを調べます。見つかったら、サイトを止めて調査し、パスワードや鍵類の入れ替えも検討します。
find wp-content -name '*.php' -mtime -30
修正版がないあいだのつなぎ
プラグインを無効化または削除するのがもっとも確実です。すぐに止められない場合は、Webサーバーの設定で wp-content 配下のアップロード用ディレクトリではPHPを実行しないようにし、WAFを使っているなら、フォーム送信先へのファイル送信を遮断するルールを入れて、時間を稼ぎます。ただし、これらで防げる範囲は確認されていないため、あくまでつなぎとして扱ってください。
背景
WP Libre Formは、WordPressのサイトに問い合わせなどのフォームを組み込むプラグインです。フォームはもともと、不特定多数の訪問者からの入力を受け付ける窓口で、ログインしていない相手が最初に触れる部分になります。その窓口がファイルを受け取る場合、種類や置き場所の管理が甘いと、そのままサーバーへの入口になります。
今回のCWE-434は、受け取るファイルの種類を制限しないために起きる脆弱性です。画像やPDFだけを想定した窓口にPHPファイルも通ってしまうと、サーバーがそれをプログラムとして動かせるため、被害が表示の改ざんにとどまりません。
よくある質問
Q.WordPress本体を最新にすれば解消しますか。
Q.1.5.0.1より前や後の版は影響を受けますか。
まだ分かっていないこと
- 修正版の版番号と公開時期は、公表された記録に記載がありません。
- 実際の攻撃で悪用されたかどうかは、公表された記録に示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| https://wordpress.org/plugins | WP Libre Form |
1.5.0.1 〜 1.5.0.1 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The WP Libre Form WordPress plugin 1.5.0.1 does not validate the type of files uploaded through its form submissions, allowing unauthenticated attackers to upload PHP files to a web-accessible location and execute them, leading to remote code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD