WordPress プラグイン Contact Form 7 に、未認証の第三者が任意のファイルをアップロードできる脆弱性が見つかりました。影響を受けるのは 6.2.4 未満のバージョンです。サーバーの構成によっては、保存されたファイルが実行されるおそれがあります。Contact Form 7 を利用しているサイトは、使用中のバージョンを確認し、更新を検討してください。
概要
この脆弱性は、Contact Form 7 のフォームに設けられたファイルフィールドに関するものです。アップロードされたファイルの種類や拡張子が検証されず、一時ファイルの削除にも不備があるため、ファイルがディスク上に残ります。
第三者はログインせずに任意のファイルをアップロードでき、サーバーの構成によっては、遠隔からサーバー上でコードを実行される RCE に至る場合があります。脆弱性には CVE-2026-114432 が割り当てられ、CVSS 基本値は 9.8 です。
影響を受けるバージョン
影響を受けるのは、WordPress プラグイン Contact Form 7 の 6.2.4 未満のバージョンです。6.2.4 が修正版にあたります。
サイトで使用しているプラグインのバージョンを確認し、対象に含まれる場合は更新を検討してください。
想定される影響
攻撃者は認証を受けずに、フォームのファイルフィールドを通じて任意のファイルをアップロードできます。CVSS の評価では、攻撃の成立に利用者の操作は必要ないとされています。
Debian または Ubuntu の標準的な Apache 設定では、保存されたファイルが発見され、実行されることで RCE に至る場合があります。この設定ではディレクトリの内容が一覧表示され、特定の拡張子のファイルが PHP の処理対象になるためです。
nginx や、.htaccess による設定の上書きが有効な Apache など、その他の構成では、影響はアップロード先への任意ファイルの書き込みに限られるとされています。ただし、保存された HTML や SVG などがサイト自身のオリジンからアクティブコンテンツとして配信される可能性があります。
対策
Contact Form 7 を使用している場合は、現在のバージョンを確認し、6.2.4 未満であれば修正版の 6.2.4 への更新を検討してください。更新にあたっては、ベンダーが提供する最新の情報も確認してください。
更新前にはサイトのバックアップを取得し、可能であればテスト環境で更新後のフォームの動作を確認します。特にファイルの添付を受け付けるフォームについて、通常の送信や添付ファイルの取り扱いに問題がないか確認してください。
更新後もプラグインのバージョンを確認し、対象のサイトに修正版が適用されたことを確かめます。現時点では一時的な回避策は公開されていないため、すぐに更新できない場合はベンダーの情報を確認してください。
エッジキャッシュCDN をご利用のお客様へ
エッジキャッシュの WAF は、OWASP Top 10 に代表されるルールと、一部カスタムルール、不正 IP ブロック（IP レピュテーション）にて攻撃パターンを検知するルールで Web サイトを保護しています。ただし、脆弱性の種類によっては WAF はソフトウェアの更新の代わりにはなりません。この脆弱性の影響を受けるバージョンをお使いの場合は、まず上記の対策を行ってください。
WAF の設定や、この脆弱性への対応についてご不明な点があれば、サポート窓口までお気軽にお問い合わせください。
参考情報
※ この記事は 2026年11月9日時点で公開されている情報をもとに作成しています。
