概要
WordPress向けの人気ページビルダープラグイン「Elementor Pro」に、未認証の攻撃者が悪意あるPHPファイルをアップロードし、リモートコード実行(RCE)を行うことを可能にする深刻な脆弱性が発見された。脆弱性はCVE-2026-32475として登録され、CVSSスコアは10点満点中9.0の「クリティカル」評価となっている。Elementor Proは1000万以上のアクティブインストールを持つ広く使われたプラグインであり、影響範囲の大きさが懸念されている。開発元は2026年8月19日にバージョン4.2.2をリリースし、この問題を修正した。脆弱性はバージョン4.2.1以前のすべてのバージョンに存在する。
技術的な詳細
脆弱性の原因は、Elementor ProのFormsモジュールが提供する「ファイルアップロード」フィールドの処理にある。セキュリティ企業Patchstackの分析によれば、アップロードされたファイルの拡張子を検証するループと、実際にファイルを保存先へ移動する処理を行うループが、空のファイルエントリに対して異なる終了ロジック(一方は検証をスキップしてreturn、もう一方はcontinue)を持っていたことが根本原因だった。攻撃者はこの差異を突き、同一フィールドに2つのファイルパート(空のファイルエントリと悪意あるPHPペイロード)を含むマルチパートリクエストを送信することで、拡張子のブロックリスト検証を完全に迂回しつつ、PHPファイルをwp-content/uploads/elementor/forms/配下に書き込むことができる。この処理には認証もnonce検証も不要であり、攻撃対象サイトに「ファイルアップロード」フィールドを含む公開済みのElementorフォームが存在してさえいれば悪用可能となる。アップロードされたPHPファイルはWebから直接アクセス・実行可能な場所に配置されるため、任意コード実行につながる。
発見の経緯と対応
この脆弱性は、セキュリティ研究者Tin Pham(TF1T)がPatchstackのバグバウンティプログラムを通じて2026年7月16日に報告した。開発元は翌7月17日にはパッチの準備に着手し、8月3日にパッチの動作確認が完了、8月19日にバージョン4.2.2として正式リリースされた。脆弱性の詳細はパッチリリースと同じ8月19日にセキュリティアドバイザリとして公開され、翌8月20日には海外メディアでも広く報じられた。報告からパッチリリースまでは比較的迅速に対応が進んだ形であり、公開時点では実際の悪用は観測されていないとされる。ただし、未認証かつ悪用条件が低いことから、今後の悪用増加には注意が必要とみられる。
今後の対応
Elementor Proを利用しているサイト管理者は、直ちにバージョン4.2.2以降へアップデートすることが強く推奨される。なお、プラグインのアップデートを行っても、既にアップロードされてしまった不正なPHPファイルが自動的に削除されるわけではない点に注意が必要だ。管理者はwp-content/uploads/elementor/forms/ディレクトリを手動で確認し、見覚えのないPHPファイルが存在しないかチェックすることが求められる。Elementor Proのような大規模に利用されるプラグインの脆弱性は、WordPressエコシステム全体に大きな影響を及ぼしうるため、今後も同様のサプライチェーン型リスクへの警戒が必要となりそうだ。