WordPress Forminator プラグインの脆弱性 CVE-2026-15748 が FIX：偽造コンフィグ注入の可能性

Critical WordPress Plugin Vulnerability Exposes 600,000 Sites to File Upload Attacks

2026/08/18 CyberSecurityNews — Forminator Forms WordPress プラグインに存在する深刻なセキュリティ脆弱性を悪用した認証を必要としない攻撃者が、悪意のある PHP ファイルをアップロードし、脆弱な Web サイトを完全に制御する可能性がある。この脆弱性 CVE-2026-15748 (CVSS 9.8) は、Forminator Forms バージョン 1.56.1 以下に影響を及ぼす。Forminator Forms は、連絡先／決済／投票／クイズ／ファイル・アップロード用フォームを構築するために広く利用されているドラッグ・アンド・ドロップ型プラグインであり、60 万件を超える有効インストールが存在する。したがって、この脆弱性は、アップデートを適用していない WordPress 管理者に深刻なリスクをもたらす。

WordPress プラグインの脆弱性

この欠陥は Wordfence の脆弱性報奨金プログラムを通じてセキュリティ研究者 daroo により報告され、報奨金 $2,048 が支払われた。Wordfence は 2026年7月14日に報告を検証して同日に Forminator の開発チームへ問題を開示し、Forminator Forms はその後、2026年7月31日にバージョン 1.56.2 をリリースしてこの問題に対処している。

Forminator のファイル・アップロード処理に存在する脆弱性 CVE-2026-15748 を悪用する攻撃者は、公開済みの脆弱なフォームにある選択フィールドを介して偽造したアップロード設定を注入できる可能性がある。その処理において、Forminator がアップロード・フィールド名／フィールド・タイプ／ファイル処理設定などの攻撃者が制御する値を受け入れることで、悪意のあるリクエストを通じて偽造データを正規のアップロード設定として処理する可能性がある。

この攻撃では、プラグインによる危険なファイル拡張子のフィルタリングも回避できる。Forminator はブロックリストを使用して PHP などの実行可能なファイル・タイプを遮断しようとするが、このフィルタリングではファイル拡張子のキーに対する完全一致が使用されている。研究者が確認したのは、遮断対象である “php” 拡張子の代替として、攻撃者が “ph(p)” というパターンを悪用できることだ。

WordPress は “ph(p)” を “.php” ファイル拡張子に一致するものとして解釈する一方で、Forminator のブロックリストでは除外に失敗する。この弱点を突く攻撃者は、偽造設定と “text/x-php” などの MIME タイプを組み合わせることで、検証チェックを通過する PHP ペイロードをアップロードする可能性がある。

通常、アップロードされたファイルは PHP の実行を防止する “.htaccess” ルールで保護されたディレクトリに配置されるが、カスタムのファイル・アップロード保存先を使用するサイトでは、特定の条件下でこの保護が適用されない可能性がある。Web からアクセスでき、実行可能なパスに PHP ファイルが保存された場合に、そのファイルに直接アクセスする攻撃者が、サーバ上で任意のコマンドを実行する可能性がある。

この悪用に成功すると、リモート・コード実行 (RCE)／Web シェルの展開／WordPress 認証情報の窃取／データベースへのアクセス／マルウェアのインストールなどが発生し、サイト全体の侵害につながる可能性がある。

サイト所有者は、Forminator Forms をバージョン 1.56.2 以降へ直ちにアップデートする必要があり、管理者は、既存のフォーム設定の確認／アップロード・ディレクトリ内に存在する不審な PHP ファイルの調査／アップロード済みファイルがサーバー側のコードとして実行されないことの確認を行う必要がある。

Forminator Forms に存在する、高深刻度の脆弱性 CVE-2026-15748 について紹介する記事です。この問題は、ファイルアップロード処理の不備により、認証されていない第三者から偽造設定の注入や危険な拡張子のチェック回避を許してしまう点に起因します。悪用された場合、悪意のある PHP ファイルのアップロード／リモートコード実行／Web シェルの展開／不正アクセスによるサイト全体の制御奪取といった重大な影響へつながる恐れがあります。安全な運用に向けて、プラグインをバージョン 1.56.2 以降へ速やかに更新することや、アップロード先の権限および不審ファイルの点検を実施することが推奨されます。