概要
WordPress向けのフォーム作成プラグイン「Forminator Forms」に、未認証の攻撃者が悪意あるPHPファイルをアップロードし、リモートコード実行(RCE)を引き起こせる深刻な脆弱性が発見された。脆弱性はCVE-2026-15748として採番され、CVSSスコアは最大値に近い9.8(重大)と評価されている。Forminatorは60万件以上のWordPressサイトにインストールされている人気プラグインで、脆弱なバージョン(1.56.1以前)を使用しているサイトは30万件超に上るとされ、パッチ未適用のまま放置されればサイト乗っ取りにつながりかねない。セキュリティ研究者「daroo」氏によって発見・報告され、Wordfenceの開発元であるDefiantが詳細な分析を公表した。同社によれば、本稿執筆時点で実際の悪用は確認されていないものの、脆弱性の深刻度と影響サイト数の多さから早急な対応が求められている。
技術的な詳細
脆弱性の根本原因は、プラグインのファイルアップロード処理を担うhandle_file_upload()関数における検証の不備にある。Forminatorは危険な拡張子を持つファイルのアップロードをブロックリスト方式でチェックしているが、このチェックはパイプ記号(|)区切りの別形式のMIMEタイプキーを使うことでバイパスできる設計上の欠陥を抱えていた。攻撃者はこの弱点に加え、フォームの「セレクト」フィールドの設定値を細工してアップロード関数に渡されるフィールド設定を偽装することで、プラグインの拡張子ブロックリストを回避し、悪意あるPHPファイルをアップロード可能になる。
この攻撃が成立するには、対象サイトのフォームに「ファイルアップロード」フィールドと「セレクト」フィールドの両方が存在する必要がある。また、Forminatorのデフォルト設定ではアップロードされたファイルは.htaccessによってPHPの実行が防止される保護ディレクトリに格納されるため直接の被害は限定的だが、管理者がカスタムのアップロード先ストレージを設定している場合はこの保護が働かず、アップロードしたPHPファイルがそのまま実行されてサイトを完全に制御される恐れがある。
対応状況と今後の対策
本脆弱性は開発元によって修正され、2026年7月31日リリースのバージョン1.56.2で対処済みとなっている。WordPressサイトの管理者はForminatorを直ちに最新版へアップデートすることが強く推奨される。あわせて、ほぼ同時期に報告されたプラグイン「User Profile Builder」の認証バイパス脆弱性(CVE-2026-15826、CVSS 9.8、影響サイト4万件以上)も深刻度が高く、複数のプラグインで重大な欠陥が相次いで公表されている状況を踏まえ、管理者は利用中の全プラグインの更新状況を定期的に確認する体制の見直しが求められる。