Elementor Forms用アドオンの脆弱性、RCEの恐れと修正版
WordPressのプラグインUltimate Addons for Elementor Formsの1.0.8未満に、ログイン不要で任意のファイルを置かれ、サーバー上でコードを実行されかねない脆弱性があります。該当するサイトは1.0.8へ更新し、不審なPHPファイルがないかも調べてください。
急ぎ度: 至急
CVSS v3は9.8で、認証なしにリモートコード実行へつながる脆弱性であり、修正版1.0.8がすでに出ているためです。
関係があるか
WordPressでElementorを使い、Ultimate Addons for Elementor Formsを入れているサイトが対象です。問い合わせや応募のフォームを外部に公開している企業サイトや採用サイトは、とくに該当しやすいと考えられます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Ultimate Addons for Elementor Forms（WordPressプラグイン、スラッグはultimate-addons-for-elementor-forms） | 1.0.8未満 | 1.0.8 |
確かめ方
- 1WordPressの管理画面で「プラグイン」の一覧を開き、Ultimate Addons for Elementor Formsが入っているか、版が1.0.8以上かを見ます。
- 2WP-CLIを使える環境では、
wp plugin get ultimate-addons-for-elementor-forms --field=versionで版を確認できます。 - 3制作会社や保守業者が管理しているサイトは、自社の管理画面で見えなくても入っていることがあります。委託先に、このプラグインの有無と版を問い合わせてください。
何が起きたか
Ultimate Addons for Elementor Formsに、外部の誰でもサーバーへファイルを置ける脆弱性が見つかりました。置かれたファイルがPHPスクリプトなら、そのサイトのサーバー上で攻撃者のコードが動きます。
このプラグインには、フォームにファイル添付欄を加える機能が含まれています。1.0.8より前の版では、この欄が受け取ったファイルの拡張子を適切に検証しません。弱点の種類はCWE-434（危険な種類のファイルの無制限なアップロード）で、CVSS v3は9.8です。
WPScanの脆弱性データベースでは2026年11月10日に公開され、CVEの公表は11月12日です。修正版は1.0.8で、報告者はMike Gozdiskowski氏とされています。
攻撃の流れ
-
1
公開フォームに接近
ログインしていない外部の人が、サイト上のフォームの送信先に到達します。
-
2
拡張子の検証漏れ
ファイル添付欄が拡張子を適切に確認せず、本来断るべきファイルを受け入れます。
-
3
PHPファイルが設置
PHPスクリプトのような実行可能なファイルが、サーバー上に保存されます。
-
4
サーバー上でコード実行
置かれたファイルを通じて、攻撃者のコードがWebサーバーの権限で動きます。
どう悪用されるか
悪用にログインは要りません。ネットワーク経由で公開されたサイトに届けば足り、利用者に何かを操作させる必要もありません。CVSSの評価でも、攻撃の複雑さは低く、認証と利用者の操作はどちらも不要とされています。
悪用されると、PHPスクリプトのような任意のファイルがサーバーに置かれ、遠隔からコードを実行されます。評価では機密性・完全性・可用性のすべてが高い影響とされており、サイトの改ざん、保存された問い合わせ内容や顧客情報の読み出し、同じサーバーにある別のサイトへの波及が起こりえます。
今すぐやること
-
1
入っているかと版を確認する
管理画面のプラグイン一覧か、WP-CLIで版を調べます。社内の複数のWordPressサイトや、制作会社が運用しているサイトも洗い出してください。
wp plugin get ultimate-addons-for-elementor-forms --field=version -
2
1.0.8以上へ更新する
該当する版が見つかったら、本番に反映する前にバックアップを取り、修正版の1.0.8以降へ更新します。認証不要でコード実行に至る脆弱性なので、通常の更新サイクルを待たず、先に処理することをおすすめします。
-
3
不審なファイルがないか調べる
更新しても、すでに置かれたファイルは消えません。アップロード先のフォルダーに、PHPファイルのような本来ないはずのファイルがないかを確認します。見つかったら削除せずに保全し、アクセスログとあわせて調べてください。
find wp-content/uploads -type f -name "*.php" -
4
侵害が疑われるときの対応に進む
不審なファイルや見覚えのない管理者アカウント、改ざんの跡があれば、サイトを一時停止してインシデントとして扱います。WordPressの管理者パスワード、データベースの接続情報、wp-config.phpのキーとソルトを入れ替え、同じサーバーのほかのサイトも調べます。
-
5
ベンダーの告知を確認する
プラグインの提供元やWordPress.orgの配布ページで、更新履歴と追加の案内がないかを確認します。
すぐ更新できないとき
すぐに更新できないときは、修正版を当てるまでの間、プラグインを無効化して外部から使えない状態にします。フォームが使えなくなるため、問い合わせ窓口を別の手段で用意しておく必要があります。無効化できない場合は、アップロード先のフォルダーでPHPの実行を拒否する設定をWebサーバー側に入れると、被害を抑える助けになります。ただし根本的な対策ではないので、更新を先送りする理由にはなりません。
背景
Ultimate Addons for Elementor Formsは、ページビルダーのElementorで作るサイトに、フォーム機能を足すWordPressのプラグインです。問い合わせや資料請求、採用応募のように、誰でも使える公開ページに置くフォームを作るために使われます。
ファイル添付欄は、履歴書や見積り依頼の書類を受け取る便利な機能ですが、外部から送られたファイルを、そのままサーバーに保存することになります。拡張子の検証に穴があると、書類のはずのファイルがPHPスクリプトとして動いてしまいます。この種の脆弱性がCWE-434として分類されているのは、WordPressのプラグインを含め、ファイル受け付け機能で起きやすい問題だからです。今回は、ログインを要しない公開フォームでこの穴が開いていたため、CVSSが9.8という高い値になっています。
よくある質問
Q.フォームにファイル添付欄を設けていないサイトも、更新が必要ですか。
Q.更新したあと、侵害の確認は不要になりますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録Ultimate Addons for Elementor Forms |
1.0.8 未満→ 1.0.8 |
1.0.8 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Ultimate Addons for Elementor Forms WordPress plugin before 1.0.8 does not properly validate the extension of uploaded files in its bundled file upload field, allowing unauthenticated users to upload arbitrary files such as PHP scripts and achieve remote code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com