脅威動向 2026-08-18（火）配信

WordPressフォームプラグインに深刻な脆弱性

📰 過去報告：8/13

WordPressのフォーム作成プラグイン「Forminator Forms」において、ファイルアップロード機能の不十分な検証に起因する任意のファイルアップロードおよび遠隔コード実行（RCE）の脆弱性です。

8/13 報告のWordPress本体の脆弱性に続き、関連プラグインでも深刻なRCE脆弱性が報告されています。利用環境のプラグイン管理にご注意ください。

主要なTTP

ファイルアップロード機能（handle_file_upload）における不十分なファイル形式検証の悪用

危険な拡張子ブロックリストのバイパス

改ざんしたセレクトフィールド等を用いた不正なファイルアップロードによる遠隔コード実行

対象となる組織・利用者

Forminator Formsプラグインを導入しているWordPressサイトを運用している組織

推奨される防御アクション

Forminator Formsプラグインを修正版（バージョン1.56.2以降）にただちにアップデートする

カスタムファイルアップロードストレージを使用している場合、PHP実行が防がれているかファイル保存先のセキュリティ設定を確認する

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。